CVE-2026-65891 — Joomla JCE Rename PoC

Proof-of-Concept-Scanner für CVE-2026-65891 in der Erweiterung Joomla Content Editor (JCE).

Eine unsachgemäße Eingabevalidierung in der rename-Funktion des JCE-Dateimanagers erlaubt einem authentifizierten Benutzer mit Dateiverwaltungsrechten Folgendes:

• versteckte Dateien erstellen (Namen mit führendem Punkt, z. B. .shell.php)
• vorhandene Dateien am Zielpfad stillschweigend überschreiben

Nur für autorisierte Tests. Verwenden Sie das Tool nur auf Systemen, die Ihnen gehören, oder für die Sie ausdrückliche Testberechtigung haben.

Schwachstellenübersicht

Dies ist kein nicht authentifiziertes RCE. Nicht mit CVE-2026-48907 verwechseln (JCE-Profilimport, ohne Authentifizierung).

Ursache

Die JCE-browser-/imgmanager-Umbenennungs-Handler akzeptierten Zieldateinamen, die zurückgewiesen werden sollten:

• Namen, die mit . beginnen (unter POSIX versteckt)
• Umbenennungen, die eine vorhandene Datei ohne Bestätigung ersetzen

Behoben in 2.20.2: Erweiterungsvalidierung bei Umbenennen/Kopieren/Verschieben und keine stillschweigende Überschreibung.

Was dieses PoC tut

check (ohne Anmeldedaten)

• Joomla- und JCE-Installation erkennen
• JCE-Version aus jce.xml / Assets auslesen
• Versionen < 2.20.2 markieren

probe / exploit (Anmeldedaten erforderlich)

1. Anmeldung über /administrator/ (oder --frontend-login)
2. Joomla-CSRF-Token abrufen
3. Marker-.txt über plugin.rpc (browser-Plugin) hochladen
4. In .cve65891_<zufällig>.txt umbenennen (versteckt)
5. GET /images/.cve65891_*.txt — wenn der Marker lesbar ist → EXPLOITED

Installation

git clone https://github.com/YOUR_USER/CVE-2026-65891.git
cd CVE-2026-65891
pip install -r requirements.txt

Anforderungen: Python 3.10+

Verwendung

# Versions-/Fingerprint-Scan (Massenbetrieb, ohne Auth)
python poc_cve_2026_65891.py -f targets.txt -m check -j 30 -o version_hits.txt

# Einzelnes Ziel — vollständiger Check
python poc_cve_2026_65891.py -u https://joomla.example -m check -v

# Authentifizierter Umbenennungstest
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --user editor --pass 'YourPassword' -v

# Session-Cookie statt Passwort
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --cookie-file cookie.txt -v

Optionen

Modi

Beispielausgabe

EXPLOITED  https://joomla.example  joomla=True  jce=True  ver=2.20.1  auth=YES  upload=YES  rename=YES  hidden=YES  url=https://joomla.example/images/.cve65891_a1b2c3d4.txt
VULNERABLE https://site.example     joomla=True  jce=True  ver=2.9.99.9  rename=YES  err=rename_ok_but_hidden_not_readable
SUSPECT    https://old.example     joomla=True  jce=True  ver=2.20.1  err=need_auth_--user_--pass_or_--cookie-file

Nur VULNERABLE- und EXPLOITED-Zeilen werden in -o geschrieben.

Voraussetzungen für probe/exploit

Das Testkonto muss ein JCE-Editorprofil mit Folgendem haben:

• Dateibrowser / Bildmanager-Zugriff
• Upload-Berechtigung
• Rename-Berechtigung

In der Regel: Editor, Manager oder Administrator — nicht ein normaler registrierter Benutzer.

Gegenmaßnahmen

1. JCE auf 2.20.2 oder neuer aktualisieren
   Erweiterungen → Verwalten → Aktualisieren oder Download von joomlacontenteditor.net

2. Bis zum Patch: Rename in den JCE-Profileinstellungen für nicht vertrauenswürdige Benutzergruppen deaktivieren (Bildmanager, Dateibrowser).

Erkennung

Achten Sie auf authentifizierte Anfragen an:

POST /index.php?option=com_jce&task=plugin.rpc&plugin=browser

Mit method=rename / renameItem und Zielnamen, die mit . beginnen.

Unerwartete versteckte Dateien unter JCE-Upload-Pfaden (/images/, /media/).

Rechtlicher Hinweis

Dieses Tool dient ausschließlich der Sicherheitsforschung, Bildung und autorisierten Penetrationstests. Unautorisierter Zugriff auf Computersysteme ist illegal. Der Autor übernimmt keine Haftung für Missbrauch.

Referenzen

• NVD — CVE-2026-65891
• JCE — joomlacontenteditor.net
• OpenCVE

Lizenz

MIT — siehe LICENSE.