murrez/cve-2026-97163Python-PoC für CVE-2026-97163: Fingerprinting von Joomla-UP-Plugin-Versionen und Prüfen von com_ajax-Install-Triggern auf nicht authentifizierte Remote-Action-Bereitstellung.
Python-3-PoC für CVE-2026-97163 — UP (Universal Plugin) für Joomla (lomart.fr).
CVE-2026-97163 — UP 5.0.0–5.2.0 und 6.0.0–6.0.29 (insbesondere das mini-Paket ohne mitgelieferte Actions) ermöglichen eine nicht authentifizierte Remote-Code-Installation: Eine anonyme Anfrage kann einen On-Demand-Download von Action-Code aus dem GitHub-Repository des Maintainers nach plugins/content/up/actions/ starten, wo Joomla ihn ausführt. Der Abruf erfolgte mit deaktivierter TLS-Zertifikatsprüfung, sodass ein netzwerkseitig positionierter Angreifer (MITM) ein bösartiges Archiv einschleusen konnte (CWE-22, CWE-284). CVSS 4.0 10.0 Critical (PR:N). Fix: UP 6.1.0 / 5.2.1 (Authentifizierungsbeschränkungen + wiederhergestellte TLS-Verifikation).
Recherche: mySites.guru — UP 6.1.0 security fixes
Verwandt (gleiches Release): CVE-2026-97160 (PHP-Shortcode), CVE-2026-97161 (Dateilesen), CVE-2026-97162 (SQLi).
PoC-Seite: https://pocbit.org/pocs/cve-2026-97163
Katalog: https://pocbit.org/pocs/
| Produkt | UP-Plugin (plg_content_up) |
| Betroffen | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Behoben | 5.2.1, 6.1.0 |
| Vektor | Mini-Modus: erste Verwendung einer Action → GitHub-Zip → Entpacken unter dem Plugin |
| Auswirkung | Integrität / RCE (mit MITM oder kompromittiertem Abrufpfad) |
Dieses PoC fingerprintet UP, prüft auf anfällige Versionen und probt com_ajax-Muster (oder --ajax-url / --render-url aus deinem Labor). Es führt kein MITM durch und hostet keine bösartigen Archive.
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --install-probe
python poc.py -u https://joomla.example --mode exploit --install-probe --action slideshow-billboard
python poc.py -u https://joomla.example --mode exploit --render-url "https://joomla.example/index.php?option=com_content&view=article&id=99"
python poc.py -u https://joomla.example --mode exploit --ajax-url "https://joomla.example/index.php?option=com_ajax&group=content&plugin=up&..."
python poc.py --list targets.example.txt --mode check --install-probe -j 8
Nach dem Patch: Untersuche plugins/content/up/actions/ auf unbekannte PHP-Ordner (Herstellerhinweis).
body="plugins/content/up"
body="plg_content_up" "up.lomart"
CVE-2026-97163 PoC: Joomla UP (lomart.fr) unauth GitHub mini-install / remote action deployment (≤6.0.29). Versionserkennung + com_ajax-Installationsproben. PoCbit
CVE-2026-97163: Im Paket UP mini kann ein Action-Download von GitHub ohne Sitzung ausgelöst werden; da die TLS-Verifikation deaktiviert ist, kann über MITM ein bösartiges Archiv eingeschleust werden. Patches 6.1.0 / 5.2.1.
Nur autorisierte Tests.