CVE-2026-65891 — PoC de renommage JCE pour Joomla

Scanner de preuve de concept pour CVE-2026-65891 dans l'extension Joomla Content Editor (JCE).

Une validation d'entrée incorrecte dans la fonction rename du gestionnaire de fichiers JCE permet à un utilisateur authentifié disposant de permissions de gestion de fichiers de :

• créer des fichiers cachés (noms préfixés par un point, ex. .shell.php)
• écraser silencieusement des fichiers existants au chemin de destination

Tests autorisés uniquement. À utiliser sur des systèmes vous appartenant ou pour lesquels vous disposez d'une autorisation explicite de test.

Résumé de la vulnérabilité

Ceci n'est pas une RCE non authentifiée. À ne pas confondre avec CVE-2026-48907 (import de profil JCE, sans authentification).

Cause racine

Les gestionnaires de renommage browser / imgmanager de JCE acceptaient des noms de fichiers de destination qui auraient dû être rejetés :

• les noms commençant par . (cachés sur POSIX)
• les renommages qui remplacent un fichier existant sans confirmation

Corrigé dans 2.20.2 : validation de l'extension lors du renommage/copie/déplacement et plus aucun écrasement silencieux.

Ce que fait ce PoC

check (sans identifiants)

• Détecter l'installation de Joomla + JCE
• Lire la version de JCE depuis jce.xml / assets
• Marquer les versions < 2.20.2

probe / exploit (identifiants requis)

1. Connexion via /administrator/ (ou --frontend-login)
2. Obtenir le jeton CSRF de Joomla
3. Téléverser un fichier marqueur .txt via plugin.rpc (plugin browser)
4. Renommer en .cve65891_<random>.txt (caché)
5. GET /images/.cve65891_*.txt — si le marqueur est lisible → EXPLOITED

Installation

git clone https://github.com/YOUR_USER/CVE-2026-65891.git
cd CVE-2026-65891
pip install -r requirements.txt

Prérequis : Python 3.10+

Utilisation

# Version / fingerprint scan (bulk, no auth)
python poc_cve_2026_65891.py -f targets.txt -m check -j 30 -o version_hits.txt

# Single target — full check
python poc_cve_2026_65891.py -u https://joomla.example -m check -v

# Authenticated rename test
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --user editor --pass 'YourPassword' -v

# Session cookie instead of password
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --cookie-file cookie.txt -v

Options

Modes

Exemple de sortie

EXPLOITED  https://joomla.example  joomla=True  jce=True  ver=2.20.1  auth=YES  upload=YES  rename=YES  hidden=YES  url=https://joomla.example/images/.cve65891_a1b2c3d4.txt
VULNERABLE https://site.example     joomla=True  jce=True  ver=2.9.99.9  rename=YES  err=rename_ok_but_hidden_not_readable
SUSPECT    https://old.example     joomla=True  jce=True  ver=2.20.1  err=need_auth_--user_--pass_or_--cookie-file

Seules les lignes VULNERABLE et EXPLOITED sont écrites dans -o.

Prérequis pour probe/exploit

Le compte de test doit disposer d'un profil éditeur JCE avec :

• accès au File browser / Image manager
• la permission Upload (téléversement)
• la permission Rename (renommage)

En général : Éditeur, Gestionnaire ou Administrateur — pas un simple utilisateur enregistré.

Atténuation

1. Mettre à niveau JCE vers 2.20.2 ou une version ultérieure
   Extensions → Gérer → Mise à jour ou télécharger depuis joomlacontenteditor.net

2. En attendant le correctif : désactiver Rename dans les paramètres du profil JCE pour les groupes d'utilisateurs non approuvés (Image Manager, File Browser).

Détection

Recherchez les requêtes authentifiées vers :

POST /index.php?option=com_jce&task=plugin.rpc&plugin=browser

Avec method=rename / renameItem et des noms de destination commençant par ..

Fichiers cachés inattendus dans les chemins de téléversement JCE (/images/, /media/).

Avertissement légal

Cet outil est réservé à la recherche en sécurité, à l'éducation et aux tests d'intrusion autorisés. L'accès non autorisé à des systèmes informatiques est illégal. L'auteur décline toute responsabilité en cas d'utilisation abusive.

Références

• NVD — CVE-2026-65891
• JCE — joomlacontenteditor.net
• OpenCVE

Licence

MIT — voir LICENSE.