CVE-2026-65891 — PoC لإعادة تسمية Joomla JCE

ماسح ضوئي لإثبات المفهوم لثغرة CVE-2026-65891 في إضافة محرر محتوى Joomla (JCE).

يسمح التحقق غير السليم من المدخلات في دالة rename (إعادة التسمية) في مدير ملفات JCE لمستخدم مصادق يمتلك صلاحيات إدارة الملفات بما يلي:

• إنشاء ملفات مخفية (أسماء تبدأ بنقطة، مثل .shell.php)
• استبدال صامت للملفات الموجودة في المسار الوجهة

للاختبار المصرح به فقط. استخدمها على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها.

ملخص الثغرة

هذه ليست RCE بدون مصادقة. لا تخلط بينها وبين CVE-2026-48907 (استيراد ملف تعريف JCE، بدون مصادقة).

السبب الجذري

قبلت معالجات إعادة التسمية browser / imgmanager في JCE أسماء ملفات وجهة كان يجب رفضها:

• الأسماء التي تبدأ بـ . (مخفية على POSIX)
• عمليات إعادة التسمية التي تستبدل ملفًا موجودًا دون تأكيد

تم الإصلاح في 2.20.2: التحقق من الامتداد عند إعادة التسمية/النسخ/النقل وعدم الاستبدال الصامت.

ماذا يفعل هذا PoC

check (بدون بيانات اعتماد)

• كشف تثبيت Joomla + JCE
• قراءة إصدار JCE من jce.xml / الأصول (assets)
• وضع علامة على الإصدارات < 2.20.2

probe / exploit (يتطلب بيانات اعتماد)

1. تسجيل الدخول عبر /administrator/ (أو --frontend-login)
2. الحصول على رمز CSRF الخاص بـ Joomla
3. رفع ملف علامة .txt عبر plugin.rpc (إضافة browser)
4. إعادة تسميته إلى .cve65891_<random>.txt (مخفي)
5. GET /images/.cve65891_*.txt — إذا كان ملف العلامة قابلًا للقراءة → EXPLOITED

التثبيت

git clone https://github.com/YOUR_USER/CVE-2026-65891.git
cd CVE-2026-65891
pip install -r requirements.txt

المتطلبات: Python 3.10+

الاستخدام

# Version / fingerprint scan (bulk, no auth)
python poc_cve_2026_65891.py -f targets.txt -m check -j 30 -o version_hits.txt

# Single target — full check
python poc_cve_2026_65891.py -u https://joomla.example -m check -v

# Authenticated rename test
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --user editor --pass 'YourPassword' -v

# Session cookie instead of password
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --cookie-file cookie.txt -v

الخيارات

الأوضاع

مثال على المخرجات

EXPLOITED  https://joomla.example  joomla=True  jce=True  ver=2.20.1  auth=YES  upload=YES  rename=YES  hidden=YES  url=https://joomla.example/images/.cve65891_a1b2c3d4.txt
VULNERABLE https://site.example     joomla=True  jce=True  ver=2.9.99.9  rename=YES  err=rename_ok_but_hidden_not_readable
SUSPECT    https://old.example     joomla=True  jce=True  ver=2.20.1  err=need_auth_--user_--pass_or_--cookie-file

تُكتب سطور VULNERABLE و EXPLOITED فقط إلى -o.

المتطلبات الأساسية لوضعي probe/exploit

يجب أن يمتلك حساب الاختبار ملف تعريف محرر JCE يتضمن:

• الوصول إلى مستعرض الملفات / مدير الصور
• صلاحية الرفع
• صلاحية إعادة التسمية

عادةً: محرر (Editor) أو مدير (Manager) أو مسؤول (Administrator) — وليس مستخدمًا مسجلًا عاديًا.

التخفيف

1. قم بترقية JCE إلى 2.20.2 أو أحدث
   Extensions → Manage → Update أو قم بالتنزيل من joomlacontenteditor.net

2. حتى يتم التصحيح: عطّل Rename في إعدادات ملف تعريف JCE لمجموعات المستخدمين غير الموثوقة (مدير الصور، مستعرض الملفات).

الكشف

ابحث عن طلبات مصادقة موجّهة إلى:

POST /index.php?option=com_jce&task=plugin.rpc&plugin=browser

مع method=rename / renameItem وأسماء وجهة تبدأ بـ ..

ملفات مخفية غير متوقعة ضمن مسارات رفع JCE (/images/، /media/).

إخلاء المسؤولية القانوني

هذه الأداة مخصصة للبحث الأمني والتعليم واختبار الاختراق المصرح به فقط. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.

المراجع

• NVD — CVE-2026-65891
• JCE — joomlacontenteditor.net
• OpenCVE

الترخيص

MIT — انظر LICENSE.