murrez/cve-2026-94132Prueba de concepto (PoC) en Python de comprobación/explotación para CVE-2026-94132: detecta las versiones de AcyMailing para Joomla, sondea el directorio media/com_acym/upload y verifica la ejecución del shell PHP subido.
PoC en Python 3 para CVE-2026-94132 — AcyMailing Enterprise para Joomla (acymailing.com).
CVE-2026-94132 — AcyMailing Enterprise < 11.1.0 (hasta 11.0.5): las acciones de buzón en modo POP3 guardan los adjuntos MIME entrantes en media/com_acym/upload/ sin las comprobaciones de extensión adecuadas. Cualquiera que pueda enviar un correo al buzón monitorizado puede colocar .php (o similar) bajo la raíz web y lograr RCE (CWE-434). CVSS 4.0 9.5 Crítico (AT:P — se requiere acceso al buzón monitorizado). Corrección: 11.1.0 (cambiar a IMAP o deshabilitar el manejo vulnerable de adjuntos POP3 hasta que se aplique el parche).
Página del PoC: https://pocbit.org/pocs/cve-2026-94132
Catálogo: https://pocbit.org/pocs/
| Producto | AcyMailing Enterprise para Joomla |
| Componente | com_acym |
| Afectado | 1.0.0 – 11.0.5 |
| Corregido | 11.1.0 |
| Ruta de escritura | /media/com_acym/upload/ |
| Requisito previo | El atacante puede enviar correo a la bandeja de entrada monitorizada por POP3 de AcyMailing |
| Asignador | Joomla CNA |
Este PoC no envía correo electrónico (solo pruebas autorizadas de buzones). Detecta AcyMailing/versión, sondea el directorio de carga y verifica una URL de shell después de que entregues un adjunto de prueba.
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --scan-uploads
python poc.py -u https://joomla.example --mode exploit --scan-uploads --shell-name pocbit_94132.php
python poc.py -u https://joomla.example --mode exploit --verify-url https://joomla.example/media/com_acym/upload/pocbit_94132.php
python poc.py --list targets.example.txt --mode check -j 10 --scan-uploads
Flujo de explotación en laboratorio: envía por correo pocbit_94132.php (<?php echo 'POCBIT-94132-OK'; ?>) al buzón de AcyMailing del sitio → ejecuta --mode exploit --verify-url ....
body="media/com_acym"
body="com_acym"
inurl:"option=com_acym"
AcyMailing Enterprise para Joomla < 11.1.0: las acciones de buzón POP3 escriben adjuntos MIME no validados en media/com_acym/upload/ → RCE si puedes enviar correo a la bandeja de entrada monitorizada (CVE-2026-94132). PoC de comprobación/explotación en Python — PoCbit.
CVE-2026-94132: AcyMailing Enterprise ≤ 11.0.5 — los archivos adjuntos que llegan al buzón POP3 se escriben en media/com_acym/upload/ sin comprobación de extensión; un atacante que pueda enviar correo al buzón monitorizado puede obtener PHP/RCE. Actualice a 11.1.0 o cambie a IMAP.
Solo pruebas autorizadas. Las pruebas de entrega de correo deben usar bandejas de entrada propias o para las que tengas permiso de uso.