Aviso (del mapa de origen)

El aviso nombra el modelo de origen del administrador. HTTP es com_jem task=source.save, no una acción ajax=. El método PHP save() no es la URL. PR:H — una POST no autenticada no es este CVE.

Entrada

• Método: POST
• Ruta: /administrator/index.php
• Router: com_jem task=source.save (JemControllerSource::save → JemModelSource::save). Requiere sesión de administrador (core.edit com_jem) y un token CSRF válido. Primero GET source.edit&id=<base64 del nombre de archivo> para que el nombre de archivo de la sesión coincida.
• Notas: CVE-2026-77991: JemModelSource::save hace File::write() de jform[source] en media/com_jem/css/<filename>. En 5.0.0 resolveSourceFile solo limpia la ruta con InputFilter y bloquea .. ; NO requiere .css y NO rechaza php. 5.0.1 añade JemCssFilePolicy::isValidFileName (debe terminar en .css, sin segmentos ejecutables). RCE con privilegios: iniciar sesión como admin/labadmin1234, editar id=base64('poc_witness.php'), guardar PHP de solo echo (no un shell). Witness GET /media/com_jem/css/poc_witness.php contiene POC_WITNESS_77991.

Cadena de llamadas

• POST /administrator/index.php login (admin/labadmin)
• GET /administrator/index.php?option=com_jem&task=source.edit&id=<base64 poc_witness.php> (JemControllerSource::edit)
• POST option=com_jem task=source.save jform[filename]+jform[source]+token (controllers/source.php:136)
• JemModelSource::save File::write media/com_jem/css/<file> (models/source.php:359-396)
• GET /media/com_jem/css/poc_witness.php

Precondiciones del lab

• Joomla 5 + PHP 8.3 con JEM 5.0.0 instalado
• Cuenta de administrador admin/labadmin con core.edit en com_jem
• media/com_jem/css con permisos de escritura

Witness

GET /media/com_jem/css/poc_witness.php devuelve POC_WITNESS_77991. Un login 200 HTML o un fallo de token no lo es.

No es éxito

• HTML genérico 200 de la página de inicio de Joomla
• login fallido / JINVALID_TOKEN
• COM_JEM_CSSMANAGER_ERROR_SOURCE_FILE_NOT_FOUND
• escribir solo un archivo .css (el gestor de CSS previsto)
• reverse shell o conexión saliente
• petición no autenticada

Parche / remediación

Haz esto primero: Actualiza JEM - Joomla Event Manager a 5.0.1 o posterior.

Verificar tras la actualización

• Vuelve a ejecutar CVE-2026-77991-Abraxas-Labs.py contra la compilación parcheada: el witness mapeado no debe aparecer.
• Confirma el aviso del proveedor / changeset en el árbol desplegado (ver referencias).
• Una firma WAF es un retraso, no un parche.

Si no puedes actualizar de inmediato

• Deshabilita o aísla el componente afectado.
• Busca la condición del witness en producción (nuevos usuarios con privilegios, archivos inesperados, filas inyectadas — lo que nombre el mapa de este CVE).

Reproducción (lab autorizado)

Apunta solo a http://127.0.0.1:8088 (o al loopback que hayas vinculado). No apuntes este script a internet.

El éxito es el witness anterior en el cuerpo de la respuesta. Un HTML 200 genérico no lo es.

Imágenes del lab

Stack de loopback usado para reproducir. Imágenes oficiales a menos que un Dockerfile en esta carpeta compile desde el código fuente.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

Vincula el árbol del producto vulnerable junto a Compose si el YAML monta un directorio local (zip del plugin / etiqueta de origen de la tabla de versiones). No publiques nada excepto 127.0.0.1.

Referencias

• CVE-2026-77991 · NVD

• CVE-2026-77991 · CVE.org

• www.joomlaeventmanager.net/

• github.com/advisories/GHSA-gh3c-9wwf-mj2v

• nvd.nist.gov/vuln/detail/CVE-2026-77991

• www.joomlaeventmanager.net

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estructurados)

Descargo de responsabilidad

Este paquete es para el proveedor, el propietario del sitio y los labs con licencia. El script se comunica con 127.0.0.1. Usarlo contra sistemas que no posees no está autorizado por Abraxas Labs. Sin garantía.

abraxaslabs.tech · github.com/abraxas · @abraxas_null