CVE-2026-39387 — BoidCMS: аутентифицированная загрузка файла до RCE через инъекцию шаблона

Описание

BoidCMS <= 2.1.2 позволяет аутентифицированному атакующему добиться удалённого выполнения кода (RCE), комбинируя две уязвимости:

1. Неограниченная загрузка файлов — конечная точка загрузки медиафайлов принимает файлы с MIME-типами изображений (например, image/gif) без проверки фактического содержимого файла, что позволяет сохранить PHP-код, встроенный в GIF-файл, на сервере.
2. Произвольный путь к шаблону — конечная точка создания страницы принимает управляемый пользователем параметр tpl, который разрешается относительно каталога тем без санации, что позволяет использовать обход пути (например, ../../media/shell.gif), чтобы указать шаблону страницы на загруженный файл.

Когда созданная страница отображается, интерпретатор PHP выполняет встроенную полезную нагрузку.

Затронутое программное обеспечение

Предварительные условия

• Действительные учётные данные учётной записи администратора BoidCMS.

Использование

python3 CVE-2026-39387.py -u <target_url> -l <username> -p <password>

Аргументы

Пример

python3 CVE-2026-39387.py -u http://target.com -l admin -p password123

После завершения эксплойта предоставляется интерактивная командная строка (cmd >>) для выполнения команд на удалённом хосте.

Ход эксплуатации

1. Login          →  POST /admin (with CSRF token)
2. Upload shell   →  POST /admin?page=media  (shell.gif containing PHP payload)
3. Create page    →  POST /admin?page=create (tpl=../../media/shell.gif)
4. Execute shell  →  GET /<permalink>?cmd=<command>

Зависимости

pip install requests

Отказ от ответственности

Данный эксплойт предоставлен только для образовательных целей и авторизованного тестирования безопасности. Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения, является незаконным и неэтичным.

Ссылки

• NVD — CVE-2026-39387
• BoidCMS