CVE-2026-38526

CVE-2026-38526 — Krayin CRM ≤ 2.2.x 认证后 RCE ⚠️ 法律声明 ：此代码仅供教育目的 和授权测试使用（CTF、漏洞赏金、私人实验室）。 作者不对非法使用承担责任。 描述 Krayin CRM Webkul ≤ 2.2.x 暴露了 /admin/tinymce/upload 端点，允许已认证用户（即使是低权限用户） 上传文件而不验证扩展名。该文件随后 从 storage/ 目录提供服务，从而允许 任意执行 PHP 代码。 类型 ：任意文件上传 → RCE CVSS ：9.9（严重） 需要认证 ：是（任何有效账户） 安装 git clone...