CVE-2026-38526 | Krayin CRM v2.2.x 认证后远程代码执行 - 通过 TinyMCE 未限制 PHP 文件上传

描述

CVE-2026-38526 是一个影响 Webkul Krayin CRM v2.2.x 的关键认证后远程代码执行漏洞。该漏洞存在于 TinyMCE 媒体上传端点 /admin/tinymce/upload，该端点未能验证上传的文件类型。经过身份验证的攻击者可以上传恶意 PHP 文件并在服务器上执行任意命令。

• CVE： CVE-2026-38526
• CVSS 评分： 9.9（严重）
• CWE： CWE-434 - 未限制危险类型文件上传
• 受影响版本： Krayin Laravel CRM v2.2.x
• 供应商： Webkul

技术细节

/admin/tinymce/upload 端点接受 TinyMCE 富文本编辑器的多部分文件上传。服务器对上传的文件类型或扩展名没有进行任何验证，允许攻击者上传 PHP 网页后门。上传的文件存储在 Web 可访问目录（/storage/tinymce/）中，因此后续对该文件路径的 GET 请求会导致 PHP 解释器执行有效载荷。

攻击流程：

1. 使用任意有效帐户认证到 Krayin CRM
2. 将 PHP 网页后门上传到 /admin/tinymce/upload，并伪造 Content-Type: image/jpeg
3. 服务器返回上传文件的 URL
4. 对该 URL 发起 GET 请求触发以 www-data 身份执行代码

要求

• Python 3.x
• requests 库（pip install requests）
• 目标 Krayin CRM 实例的有效凭证

用法

git clone https://github.com/NathanHimself/CVE-2026-38526-PoC
cd CVE-2026-38526-PoC
chmod +x exploit.py
python3 exploit.py -t <target URL> -u <email> -p <password> -c <command>

免责声明

此工具仅用于授权渗透测试和教育目的。请勿在未获得明确许可的系统上使用。作者不承担任何责任，并且不对因使用此 PoC 而导致的任何误用、损害或非法活动负责。

参考

• https://github.com/TREXNEGRO/Security-Advisories/tree/main/CVE-2026-38526](https://socradar.io/blog/cve-2026-38526-krayin-crm-rce/)
• https://nvd.nist.gov/vuln/detail/CVE-2026-38526