murrez/cve-2026-94130PoC Python qui vérifie et exploite une injection SQL non authentifiée dans Joomla YouTube Gallery (com_youtubegallery) ≤ 5.7.2 via les paramètres publics de recherche et de tri de yg_api.
PoC Python 3 pour CVE-2026-94130 — YouTube Gallery (com_youtubegallery, joomlaboat.com).
CVE-2026-94130 — YouTube Gallery pour Joomla ≤ 5.7.2 permet une injection SQL non authentifiée (CWE-89, CVSS 4.0 9.3 Critique) dans la gestion des requêtes de recherche de vidéos et de tri. Les attaquants peuvent injecter du SQL dans les requêtes de lecture sans se connecter. Corrigé dans la version 5.7.3 (septembre 2026).
Page du PoC : https://pocbit.org/pocs/cve-2026-94130
Catalogue : https://pocbit.org/pocs/
| Produit | Extension YouTube Gallery pour Joomla |
| Composant | com_youtubegallery |
| Affecté | 1.0.0 – 5.7.2 |
| Corrigé | 5.7.3 |
| Vecteur | Galerie publique / API JSON yg_api=1 ; les paramètres incluent ygsearchfields, ygsearchquery, des paramètres GET liés au tri |
| Assignateur | Joomla CNA |
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --sqli-probe --listid 1 --themeid 1
python poc.py -u https://joomla.example --mode check --scan-ids --sqli-probe --delay 5
python poc.py --list targets.example.txt --mode check -j 10 --sqli-probe
Exemple de surface d'API (nécessite un listid + themeid valides) :
/index.php?option=com_youtubegallery&view=youtubegallery&listid=1&themeid=1&yg_api=1
&ygsearchfields=es_title&ygsearchquery=...
body="com_youtubegallery"
inurl:"option=com_youtubegallery"
Injection SQL non authentifiée dans Joomla YouTube Gallery (joomlaboat.com) ≤ 5.7.2 via la recherche/tri de vidéos sur le point de terminaison public yg_api. PoC Python de vérification/exploitation — PoCbit.
CVE-2026-94130 : Injection SQL sans session dans l'extension YouTube Gallery de Joomla (≤ 5.7.2) ; interférence avec les requêtes de lecture de la base de données via les requêtes de recherche et de tri. Corrigé dans la version 5.7.3. CVSS 4.0 9.3 Critique.
Tests autorisés uniquement. --sqli-probe / --mode exploit envoient intentionnellement des charges utiles SQL (y compris SLEEP).