murrez/cve-2026-94130Prueba de concepto en Python que comprueba y explota una inyección SQL no autenticada en Joomla YouTube Gallery (com_youtubegallery) ≤ 5.7.2 a través de los parámetros públicos de búsqueda y ordenación de yg_api.
PoC en Python 3 para CVE-2026-94130 — YouTube Gallery (com_youtubegallery, joomlaboat.com).
CVE-2026-94130 — YouTube Gallery para Joomla ≤ 5.7.2 permite inyección SQL no autenticada (CWE-89, CVSS 4.0 9.3 Crítica) en el manejo de solicitudes de búsqueda de videos y ordenamiento. Los atacantes pueden inyectar SQL en consultas de lectura sin iniciar sesión. Corregido en 5.7.3 (sep 2026).
Página del PoC: https://pocbit.org/pocs/cve-2026-94130
Catálogo: https://pocbit.org/pocs/
| Producto | Extensión YouTube Gallery para Joomla |
| Componente | com_youtubegallery |
| Afectado | 1.0.0 – 5.7.2 |
| Corregido | 5.7.3 |
| Vector | Galería pública / API JSON yg_api=1; los parámetros incluyen ygsearchfields, ygsearchquery, parámetros GET relacionados con el ordenamiento |
| Asignador | Joomla CNA |
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --sqli-probe --listid 1 --themeid 1
python poc.py -u https://joomla.example --mode check --scan-ids --sqli-probe --delay 5
python poc.py --list targets.example.txt --mode check -j 10 --sqli-probe
Ejemplo de superficie de API (requiere listid + themeid válidos):
/index.php?option=com_youtubegallery&view=youtubegallery&listid=1&themeid=1&yg_api=1
&ygsearchfields=es_title&ygsearchquery=...
body="com_youtubegallery"
inurl:"option=com_youtubegallery"
Inyección SQL no autenticada en Joomla YouTube Gallery (joomlaboat.com) ≤ 5.7.2 mediante la búsqueda/ordenamiento de videos en el endpoint público yg_api. PoC de verificación/explotación en Python — PoCbit.
CVE-2026-94130: Inyección SQL sin sesión en el plugin YouTube Gallery de Joomla (≤ 5.7.2); interferencia en las consultas de lectura de la base de datos mediante solicitudes de búsqueda y ordenación. Corregido en 5.7.3. CVSS 4.0 9.3 Critical.
Solo pruebas autorizadas. --sqli-probe / --mode exploit envían payloads SQL intencionales (incluido SLEEP).