CVE-2026-92592: Craft CMS 認証済み RCE

CVE-2026-92592 / GHSA-5r92-75j8-c534 の概念実証です。Craft は、認証済みの license-shun cookie 内の攻撃者が制御するデータに、署名付きログインリダイレクトで使用されるのと同じキーとフォーマットで署名します。その署名済みの値を redirect として再利用すると、Craft はそれをサンドボックス化されていない Twig としてレンダリングし、Twig の map('system') の挙動を通じてコマンド実行を可能にします。

Craft CMS 4.8.0 から 4.18.5、および 5.0.0 から 5.10.12 が影響を受けます。4.18.6 または 5.10.13 以降にアップグレードしてください。Craft 5.9.8 が影響を受けます。

これは、自身が所有するシステム、またはテストを許可されているシステムに対してのみ使用してください。

要件

• Python 3
• requests
• パスワード認証を使用し、アクティブな 2FA がない Craft アカウント
• Craft コントロールパネルへのアクセス
• cookieValidationKey と Craft の securityKey の間のデフォルトの関係
• ターゲット上で利用可能な system()、sh、base64

分離された環境を作成し、Python パッケージをインストールします:

python3 -m venv .venv
source .venv/bin/activate
python -m pip install requests

使用方法

ターゲット URL、ユーザー名、パスワード、コマンドを指定してエクスプロイトを実行します:

python3 craftcms_rce.py \
  -t https://craft.example \
  -u author \
  -p 'password' \
  'id'

コマンドラインで指定したパスワードは、シェル履歴やプロセス一覧に表示される可能性があります。一時的なテスト用認証情報を使用してください。HTTP デバッグプロキシには --proxy を、ターゲットが検証できない証明書を使用している場合に限り --insecure を指定してください。

コマンドの stdout と stderr は結合され、stdout に出力されます。すべてのオプションについては python3 craftcms_rce.py --help を実行してください。

仕組み

1. コントロールパネルのログインページから CSRF トークンを取得し、指定されたアカウントで認証します。
2. コントロールパネルのダッシュボードから新しい CSRF トークンを取得します。
3. Twig ペイロードを app/set-license-shun-cookie に送信し、Craft の署名済み cookie 値を取得します。
4. その値を別のログインリクエストの redirect パラメータとして送信します。
5. レンダリングされたリダイレクトからコマンド出力を抽出してデコードします。

参考資料

• Craft CMS アドバイザリ GHSA-5r92-75j8-c534
• NVD: CVE-2026-92592