CVE-2026-57827 — RSFiles! Téléversement de fichier non authentifié → RCE

Avertissement — utilisation autorisée uniquement. Ceci est une preuve de concept pour la recherche en sécurité et les tests défensifs. Vous êtes responsable de son utilisation uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite. Toute utilisation abusive contre des tiers sans consentement est illégale. Voir SECURITY.md pour la position en matière de divulgation responsable.

Exploit + détecteur autonome pour CVE-2026-57827 dans le composant RSFiles! (com_rsfiles) pour Joomla, versions < 1.17.12 (corrigé dans 1.17.12, CVSS 9.8 / 10.0).

Le téléversement côté frontend est réparti sur deux tâches :

1. rsfiles.checkupload — contrôle préalable (permission + liste blanche d'extensions)
2. rsfiles.upload — méthode d'écriture (aucun contrôle de permission, aucun contrôle du type de fichier, aucune protection CSRF)

La tâche d'écriture peut être appelée directement, en contournant le contrôle préalable, ce qui permet à un attaquant non authentifié de téléverser un fichier .php exécutable dans un dossier public et de l'exécuter → RCE non authentifiée.

⚠️ Ce qu'est ce projet

• ✅ Une réimplémentation propre et lisible de la chaîne d'attaque décrite pour les chercheurs et les défenseurs.
• ✅ Inclut un serveur simulé local pour valider l'ensemble du flux avec zéro risque pour quoi que ce soit de réel.
• ✅ Inclut un mode détection uniquement qui n'effectue aucun téléversement.

Fichiers

Tous les modules doivent se trouver dans le même répertoire (ils s'importent mutuellement).

Installation

python3 -m pip install -r requirements.txt   # or just: pip install requests

Utilisation

1 · Détection uniquement (aucun téléversement, sans risque pour la reconnaissance)

python rsfiles_detect.py -t example.com

Host     : example.com
RSFiles! : YES v1.17.11
Protocol : https
Status   : VULNERABLE  (below 1.17.12)

Multi-hôte :

python rsfiles_detect.py -f hosts.txt

2 · Exploit complet (cible unique)

python cve_2026_57827.py -t example.com

En cas de succès, l'outil affiche l'URL du shell avec son jeton aléatoire et la sortie de la commande — cette sortie est la preuve de la RCE.

3 · Scan de masse + rapports

python cve_2026_57827.py -f targets.txt --threads 30 -o shells.txt --csv report.csv

Test local (zéro risque)

# Terminal 1 — start the mock (vulnerable)
python mock_server.py 8000 1.17.11

# Terminal 2 — scan it
python rsfiles_detect.py -t 127.0.0.1:8000
python cve_2026_57827.py -t 127.0.0.1:8000

1.17.11 / 1.17.10 = vulnérable · 1.17.12 = corrigé.

Notes de conception

• Payload modulaire (payload.py) : chaque comportement (gate, upload, exec, delete, list) est une petite fonction ; les noms des fonctions d'exécution sont encodés en base64 afin que des noms bruts comme system n'apparaissent pas dans les octets du fichier.
• Noms de fichiers inoffensifs randomisés (p. ex. cache7f31.php) au lieu des noms classiques de shells cachés de type fichier point.
• Compteurs incrémentaux (O(1)) au lieu de ré-analyser les résultats.
• Analyse d'URL à source unique via common.base_of().

Crédits / inspiration

Style calqué sur les collections publiques d'exploits de composants Joomla (p. ex. incredibleindishell/joomla-vulnerabilities) et les analyses de l'avis de sécurité RSJoomla/mysites.guru pour cette CVE.

Licence

MIT — voir LICENSE. Usage recherche/défense uniquement.