CVE-2026-94130 — YouTube Gallery für Joomla (SQL-Injection)

Python-3-PoC für CVE-2026-94130 — YouTube Gallery (com_youtubegallery, joomlaboat.com).

Beschreibung (PoCbit / GitHub)

CVE-2026-94130 — YouTube Gallery für Joomla ≤ 5.7.2 ermöglicht nicht authentifizierte SQL-Injection (CWE-89, CVSS 4.0 9.3 Kritisch) in der Verarbeitung von Anfragen zur Videosuche und Sortierung. Angreifer können ohne Anmeldung SQL in Leseabfragen einschleusen. Behoben in 5.7.3 (Sep 2026).

PoC-Seite: https://pocbit.org/pocs/cve-2026-94130

PoCbit

Katalog: https://pocbit.org/pocs/

Produkt	YouTube Gallery-Erweiterung für Joomla
Komponente	com_youtubegallery
Betroffen	1.0.0 – 5.7.2
Behoben	5.7.3
Vektor	Öffentliche Galerie / yg_api=1 JSON-API; Parameter umfassen ygsearchfields, ygsearchquery, sortierungsbezogene GET-Parameter
Zuweiser	Joomla CNA

Verwendung

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --sqli-probe --listid 1 --themeid 1
python poc.py -u https://joomla.example --mode check --scan-ids --sqli-probe --delay 5
python poc.py --list targets.example.txt --mode check -j 10 --sqli-probe

Beispiel-API-Oberfläche (erfordert gültige listid + themeid):

/index.php?option=com_youtubegallery&view=youtubegallery&listid=1&themeid=1&yg_api=1
&ygsearchfields=es_title&ygsearchquery=...

FOFA / Google

body="com_youtubegallery"
inurl:"option=com_youtubegallery"

GitHub About (EN)

Nicht authentifizierte SQL-Injection in Joomla YouTube Gallery (joomlaboat.com) ≤ 5.7.2 über Videosuche/-sortierung am öffentlichen yg_api-Endpunkt. Python-PoC zum Prüfen/Ausnutzen — PoCbit.

Özet (TR)

CVE-2026-94130: In der Joomla-YouTube Gallery-Erweiterung (≤ 5.7.2) eine SQL-Injection ohne Sitzung; durch Such- und Sortieranfragen wird in Datenbank-Leseabfragen eingegriffen. Behoben mit 5.7.3. CVSS 4.0 9.3 Critical.

Rechtliches

Nur autorisierte Tests. --sqli-probe / --mode exploit senden absichtlich SQL-Payloads (einschließlich SLEEP).