murrez/cve-2026-97163Prueba de concepto en Python para CVE-2026-97163: identifica las versiones del plugin UP de Joomla y sondea los desencadenantes de instalación de com_ajax para el despliegue remoto de acciones sin autenticación.
PoC en Python 3 para CVE-2026-97163 — UP (Universal Plugin) para Joomla (lomart.fr).
CVE-2026-97163 — UP 5.0.0–5.2.0 y 6.0.0–6.0.29 (especialmente el paquete mini sin acciones incluidas) permiten la instalación remota de código sin autenticación: una solicitud anónima puede iniciar una descarga bajo demanda del código de acción desde el repositorio de GitHub del mantenedor hacia plugins/content/up/actions/, donde Joomla lo ejecuta. La descarga se realizaba con la verificación de certificados TLS deshabilitada, por lo que un atacante posicionado en la red (MITM) podría sustituir un archivo malicioso (CWE-22, CWE-284). CVSS 4.0 10.0 Crítico (PR:N). Corrección: UP 6.1.0 / 5.2.1 (restricciones de autenticación + verificación TLS restaurada).
Investigación: mySites.guru — correcciones de seguridad de UP 6.1.0
Relacionados (misma versión): CVE-2026-97160 (shortcode PHP), CVE-2026-97161 (lectura de archivos), CVE-2026-97162 (SQLi).
Página del PoC: https://pocbit.org/pocs/cve-2026-97163
Catálogo: https://pocbit.org/pocs/
| Producto | Plugin UP (plg_content_up) |
| Afectados | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Corregido | 5.2.1, 6.1.0 |
| Vector | Modo mini: primer uso de una acción → zip de GitHub → descompresión bajo el plugin |
| Impacto | Integridad / RCE (con MITM o ruta de descarga comprometida) |
Este PoC identifica UP, comprueba las versiones vulnerables y sonda los patrones de com_ajax (o --ajax-url / --render-url de tu laboratorio). No realiza MITM ni aloja archivos maliciosos.
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --install-probe
python poc.py -u https://joomla.example --mode exploit --install-probe --action slideshow-billboard
python poc.py -u https://joomla.example --mode exploit --render-url "https://joomla.example/index.php?option=com_content&view=article&id=99"
python poc.py -u https://joomla.example --mode exploit --ajax-url "https://joomla.example/index.php?option=com_ajax&group=content&plugin=up&..."
python poc.py --list targets.example.txt --mode check --install-probe -j 8
Tras el parche: inspecciona plugins/content/up/actions/ en busca de carpetas PHP desconocidas (guía del proveedor).
body="plugins/content/up"
body="plg_content_up" "up.lomart"
PoC de CVE-2026-97163: Joomla UP (lomart.fr) instalación mini desde GitHub sin autenticación / despliegue remoto de acciones (≤6.0.29). Detección de versión + sondas de instalación com_ajax. PoCbit
CVE-2026-97163: En el paquete mini de UP se puede desencadenar la descarga de actions desde GitHub sin sesión; como la verificación TLS está desactivada, se puede inyectar un archivo malicioso mediante MITM. Parches 6.1.0 / 5.2.1.
Solo pruebas autorizadas.