CVE-2026-39387 — BoidCMS テンプレートインジェクションによる認証済みファイルアップロードから RCE

説明

BoidCMS <= 2.1.2 は、認証済み攻撃者が以下の2つの脆弱性を組み合わせることでリモートコード実行 (RCE) を達成することを許可します。

1. 無制限のファイルアップロード — メディアアップロードエンドポイントは、実際のファイル内容を検証せずに画像 MIME タイプ (例: image/gif) のファイルを受け入れるため、GIF ファイルに埋め込まれた PHP コードをサーバーに保存できます。
2. 任意のテンプレートパス — ページ作成エンドポイントは、サニタイズなしにテーマディレクトリを基準として解決されるユーザー制御の tpl パラメータを受け入れるため、パストラバーサル (例: ../../media/shell.gif) を使用してアップロード済みファイルをページのテンプレートとして指定できます。

細工されたページがレンダリングされると、PHP インタープリタが埋め込まれたペイロードを実行します。

影響を受けるソフトウェア

前提条件

• BoidCMS 管理者アカウントの有効な認証情報。

使用方法

python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>

引数

例

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

エクスプロイトが完了すると、リモートホスト上でコマンドを実行するための対話型シェルプロンプト (cmd >>) が提供されます。

エクスプロイトの流れ

1. Login          →  POST /admin (with CSRF token)
2. Upload shell   →  POST /admin?page=media  (shell.gif containing PHP payload)
3. Create page    →  POST /admin?page=create (tpl=../../media/shell.gif)
4. Execute shell  →  GET /<permalink>?cmd=<command>

依存関係

pip install requests

免責事項

このエクスプロイトは教育目的および許可されたセキュリティテスト専用に提供されています。所有していないシステム、または明示的なテスト許可がないシステムに対する不正使用は違法であり、非倫理的です。

参照

• NVD — CVE-2026-39387
• BoidCMS