SynaptikCMS ファイルマネージャー — 認証済み RCE

脆弱性

SynaptikCMS ファイルマネージャー 認証済みリモートコード実行

SynaptikCMS のファイルマネージャーでは、認証済みの攻撃者がファイルをアップロードし、その後そのファイルを PHP ファイルにリネームすることが可能です。このアップロードおよびリネームの動作を悪用することで、実行可能な PHP コードを Web からアクセス可能な場所に配置でき、結果として Web サーバーのコンテキストでリモートコード実行が可能になります。

研究者: D1n3sh

影響を受けるコンポーネント

/admin/file-manager.php

脆弱な機能は、ファイルのアップロードおよびファイルのリネーム操作に関連しています。

脆弱性の種類

• 無制限のファイルアップロード
• ファイル拡張子 / リネーム検証のバイパス
• 認証済みリモートコード実行

攻撃要件

このエクスプロイトには、認証済みの管理者セッションが必要です。

PoC は管理者セッション Cookie を受け取り、ファイルマネージャーのエンドポイントと対話します。提供されているエクスプロイトは、以下のエンドポイントを使用します:

/admin/file-manager.php

PoC に記載されているエクスプロイトチェーンは以下の通りです:

1. ファイルマネージャーへのアクセスを確認する。
2. PHP 以外のファイル名を使用して PHP ペイロードをアップロードする。
3. アップロードされたファイルの識別子を取得する。
4. アップロードを完了する。
5. アップロードされたファイルを .php ファイル名にリネームする。
6. 結果として得られたファイルに Web からアクセス可能なディレクトリを通じてアクセスする。
7. コマンド実行を確認する。

アップロードされた PoC は、この手順を直接実装しています。

概念実証

PoC は以下に提供されています:

synaptik_rce.py

https://github.com/user-attachments/assets/0cc7a657-a611-48fc-bd90-c172e9122ab9

このスクリプトは PHP ペイロードを作成し、PHP 以外のファイル名を使用してアップロードした後、PHP ファイル名へのリネームを試みます。

使用方法

python3 synaptik_rce.py \
  -u https://TARGET \
  -c 'ADMIN_SESSION_COOKIE'

許可されたテスト専用です。

PoC は、HTTP プロキシを介したトラフィックのプロキシ、およびテスト後のクリーンアップもサポートしています。

影響

エクスプロイトが成功すると、認証済みの攻撃者が Web サーバープロセスの権限で任意のオペレーティングシステムコマンドを実行できる可能性があります。

サーバー構成およびアプリケーションプロセスの権限によっては、以下の結果を招く可能性があります:

• アプリケーションの侵害
• サーバー側ファイルへのアクセス
• アプリケーションデータの改ざん
• 基盤サーバーのさらなる侵害

開示

この脆弱性は、SynaptikCMS プロジェクトに責任を持って開示されました。

その後、この問題はプロジェクトのメンテナーによって修正され、研究者は SynaptikCMS Security Hall of Fame にクレジットされました。

参考文献

• SynaptikCMS: https://github.com/synaptikcms/synaptik-cms
• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-92247
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-92247
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-92247/
• Researcher: https://d1n3sh-0x3.github.io/

免責事項

この概念実証は、セキュリティ研究および許可されたテスト専用に提供されています。

システム所有者から明示的な許可を得ずに、この PoC をシステムに対して使用しないでください。