CVE-2026-57827 — RSFiles! رفع ملف بدون مصادقة → تنفيذ كود عن بُعد (RCE)

إخلاء مسؤولية — للاستخدام المصرّح به فقط. هذه إثبات مفهوم (PoC) لأغراض البحث الأمني والاختبار الدفاعي. أنت مسؤول عن استخدامها فقط على الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها. إساءة الاستخدام ضد أطراف ثالثة دون موافقة غير قانونية. راجع SECURITY.md لمعرفة موقف الإفصاح المسؤول.

استغلال + كاشف مستقل لـ CVE-2026-57827 في مكوّن RSFiles! (com_rsfiles) الخاص بـ Joomla، الإصدارات < 1.17.12 (تم الإصلاح في 1.17.12، CVSS 9.8 / 10.0).

يتم تقسيم الرفع من الواجهة الأمامية إلى مهمتين:

1. rsfiles.checkupload — بوابة الفحص المسبق (التحقق من الصلاحيات + قائمة الامتدادات المسموح بها)
2. rsfiles.upload — طريقة الكتابة (بدون تحقق من الصلاحيات، وبدون فحص نوع الملف، وبدون CSRF)

يمكن استدعاء مهمة الكتابة مباشرةً، متجاوزًا بوابة الفحص المسبق، مما يسمح لمهاجم غير مصادق برفع ملف .php قابل للتنفيذ إلى مجلد عام وتشغيله ← RCE بدون مصادقة.

⚠️ ما هو هذا المشروع

• ✅ إعادة تنفيذ نظيفة وقابلة للقراءة لسلسلة الهجوم الموصوفة للباحثين والمدافعين.
• ✅ يتضمن خادم محاكاة محليًا (mock server) لتتمكن من التحقق من التدفق بأكمله مع صفر مخاطرة على أي شيء حقيقي.
• ✅ يتضمن وضع الاكتشاف فقط الذي لا يقوم بأي رفع على الإطلاق.

الملفات

يجب أن تكون جميع الوحدات في نفس الدليل (فهي تستورد بعضها البعض).

التثبيت

python3 -m pip install -r requirements.txt   # or just: pip install requests

الاستخدام

1 · اكتشاف فقط (بدون رفع، آمن للاستطلاع)

python rsfiles_detect.py -t example.com

Host     : example.com
RSFiles! : YES v1.17.11
Protocol : https
Status   : VULNERABLE  (below 1.17.12)

عدة مضيفين:

python rsfiles_detect.py -f hosts.txt

2 · استغلال كامل (هدف واحد)

python cve_2026_57827.py -t example.com

عند النجاح، تطبع الأداة رابط الصدفة مع رمزها العشوائي ومخرجات الأمر — وهذه المخرجات هي الدليل على تنفيذ الأوامر (RCE).

3 · فحص جماعي + تقارير

python cve_2026_57827.py -f targets.txt --threads 30 -o shells.txt --csv report.csv

اختبار محلي (صفر مخاطرة)

# Terminal 1 — start the mock (vulnerable)
python mock_server.py 8000 1.17.11

# Terminal 2 — scan it
python rsfiles_detect.py -t 127.0.0.1:8000
python cve_2026_57827.py -t 127.0.0.1:8000

1.17.11 / 1.17.10 = قابلة للاستغلال · 1.17.12 = مصحّحة.

ملاحظات التصميم

• حمولة معيارية (payload.py): كل سلوك (بوابة، رفع، تنفيذ، حذف، سرد) هو دالة صغيرة واحدة؛ أسماء دوال التنفيذ مشفّرة بـ base64 بحيث لا تظهر الأسماء الخام مثل system في بايتات الملف.
• أسماء ملفات عشوائية غير ضارة (مثل cache7f31.php) بدلاً من أسماء الصدفات الخفية التقليدية ذات النقطة.
• عدادات تزايدية (O(1)) بدلاً من إعادة فحص النتائج.
• تحليل عناوين URL من مصدر واحد عبر common.base_of().

الاعتمادات / الإلهام

النمط مستوحى من مجموعات استغلال مكوّنات Joomla العامة (مثل incredibleindishell/joomla-vulnerabilities) ومن كتابات النشرات الاستشارية الخاصة بـ RSJoomla/mysites.guru لهذه الثغرة CVE.

الترخيص

MIT — انظر LICENSE. للاستخدام البحثي/الدفاعي فقط.