CVE-2026-97160 — حقن كود PHP في إضافة UP (Joomla)

إثبات مفهوم (PoC) بلغة Python 3 لـ CVE-2026-97160 — إضافة UP (Universal Plugin) لـ Joomla (lomart.fr / up.lomart.fr).

الوصف (PoCbit / GitHub)

CVE-2026-97160 — تسمح إضافة UP الإصدار 5.0.0–5.2.0 و6.0.0–6.0.29 بـحقن كود PHP عبر الشيفرات القصيرة {up php=...} التي تُعالَج باستخدام eval() (CWE-94). يصنّف CNA هذه الثغرة على أنها تتطلب مصادقة / امتيازات عالية؛ قبل 6.1.0 / 5.2.1، كان بإمكان مؤلفي المقالات تجاوز فحوصات الإجراءات المحجوزة عبر تطبيع الاسم بين الحفظ والعرض، بحيث كان كود PHP في المقال يُنفَّذ لدى كل زائر. CVSS 4.0 9.4 حرجة. الإصلاح: UP 6.1.0 (Joomla 5.2+) أو 5.2.1 (Joomla 3.10–5.1).

ذات صلة (الإصدار نفسه): CVE-2026-97161 (قراءة الملفات / اجتياز المسار)، CVE-2026-97162 (حقن SQL)، CVE-2026-97163 (تثبيت GitHub المصغّر).

صفحة PoC: https://pocbit.org/pocs/cve-2026-97160

PoCbit

الفهرس: https://pocbit.org/pocs/

المنتج	إضافة UP لـ Joomla (plg_content_up)
المسار	plugins/content/up/
المتأثر	5.0.0–5.2.0، 6.0.0–6.0.29
المُصلَح	5.2.1، 6.1.0
المتجه	الشيفرة القصيرة للمقال/الوحدة {up php=...}
المُعيِّن	Joomla CNA

الاستخدام

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10

المختبر: بصفتك مسؤولاً (أو مؤلفاً على الإصدارات المصابة)، أضف إلى متن المقال:

{up php=echo 'POCBIT-97160-OK';}

انشر، ثم شغّل --mode exploit --article-url <public URL>.

FOFA / Google

body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"

نبذة GitHub (EN)

إثبات مفهوم CVE-2026-97160: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — حقن كود عبر eval في الشيفرة القصيرة المميزة {up php=} (تجاوز المؤلف على الإصدارات الأقدم). PoCbit

ملخص (TR)

CVE-2026-97160: تنفيذ PHP على الخادم عبر {up php=...} في إضافة Joomla UP؛ تم إصلاحه في 6.1.0 / 5.2.1.

قانوني

للاختبار المصرّح به فقط. لا تنشر شيفرات قصيرة ضارة على مواقع لا تملكها.