CVE-2026-38526 | Krayin CRM v2.2.x 인증된 RCE - TinyMCE를 통한 제한 없는 PHP 파일 업로드

설명

CVE-2026-38526은 Webkul Krayin CRM v2.2.x에 영향을 미치는 중요한 인증된 원격 코드 실행 취약점입니다. 이 취약점은 업로드된 파일 유형을 검증하지 못하는 TinyMCE 미디어 업로드 엔드포인트 /admin/tinymce/upload에 존재합니다. 인증된 공격자는 악성 PHP 파일을 업로드하고 서버에서 임의의 명령을 실행할 수 있습니다.

• CVE: CVE-2026-38526
• CVSS 점수: 9.9 (심각)
• CWE: CWE-434 - 위험한 유형의 파일 제한 없는 업로드
• 영향받는 버전: Krayin Laravel CRM v2.2.x
• 공급업체: Webkul

기술적 세부사항

/admin/tinymce/upload 엔드포인트는 TinyMCE 리치 텍스트 편집기를 위한 멀티파트 파일 업로드를 허용합니다. 서버는 업로드된 파일 유형이나 확장자에 대해 어떤 검증도 수행하지 않으므로 공격자가 PHP 웹쉘을 업로드할 수 있습니다. 업로드된 파일은 웹에서 접근 가능한 디렉토리(/storage/tinymce/)에 저장되므로, 파일 경로에 대한 후속 GET 요청은 PHP 인터프리터가 페이로드를 실행하게 합니다.

공격 흐름:

1. 유효한 계정으로 Krayin CRM에 인증
2. Content-Type: image/jpeg로 스푸핑된 PHP 웹쉘을 /admin/tinymce/upload에 업로드
3. 서버가 업로드된 파일의 URL로 응답
4. URL에 대한 GET 요청이 www-data 권한으로 코드 실행을 트리거

요구사항

• Python 3.x
• requests 라이브러리 (pip install requests)
• 대상 Krayin CRM 인스턴스의 유효한 자격 증명

사용법

git clone https://github.com/NathanHimself/CVE-2026-38526-PoC
cd CVE-2026-38526-PoC
chmod +x exploit.py
python3 exploit.py -t <target URL> -u <email> -p <password> -c <command>

면책 조항

이 도구는 승인된 침투 테스트 및 교육 목적으로만 사용됩니다. 테스트할 명시적 권한이 없는 시스템에 대해 사용하지 마십시오. 작성자는 이 PoC의 사용으로 인해 발생하는 모든 오용, 손해 또는 불법 활동에 대해 책임을 지지 않으며, 책임을 부담하지 않습니다.

참고 자료

• https://github.com/TREXNEGRO/Security-Advisories/tree/main/CVE-2026-38526](https://socradar.io/blog/cve-2026-38526-krayin-crm-rce/)
• https://nvd.nist.gov/vuln/detail/CVE-2026-38526