murrez/cve-2026-97163PoC Python pour CVE-2026-97163 : identifie les versions du plugin Joomla UP et sonde les déclencheurs d'installation com_ajax pour un déploiement d'actions distantes non authentifié.
PoC Python 3 pour CVE-2026-97163 — UP (Universal Plugin) pour Joomla (lomart.fr).
CVE-2026-97163 — UP 5.0.0–5.2.0 et 6.0.0–6.0.29 (en particulier le paquet mini sans actions intégrées) permettent une installation de code à distance non authentifiée : une requête anonyme peut déclencher un téléchargement à la demande du code d'action depuis le dépôt GitHub du mainteneur vers plugins/content/up/actions/, où Joomla l'exécute. La récupération s'effectuait avec la vérification des certificats TLS désactivée, de sorte qu'un attaquant en position réseau (MITM) pouvait substituer une archive malveillante (CWE-22, CWE-284). CVSS 4.0 10.0 Critique (PR:N). Correctif : UP 6.1.0 / 5.2.1 (restrictions d'authentification + vérification TLS rétablie).
Recherche : mySites.guru — Correctifs de sécurité UP 6.1.0
Associés (même version) : CVE-2026-97160 (shortcode PHP), CVE-2026-97161 (lecture de fichiers), CVE-2026-97162 (SQLi).
Page PoC : https://pocbit.org/pocs/cve-2026-97163
Catalogue : https://pocbit.org/pocs/
| Produit | Plugin UP (plg_content_up) |
| Affecté | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Corrigé | 5.2.1, 6.1.0 |
| Vecteur | Mode mini : première utilisation d'une action → zip GitHub → décompression sous le plugin |
| Impact | Intégrité / RCE (avec MITM ou chemin de récupération compromis) |
Ce PoC identifie UP, vérifie les versions vulnérables et sonde les motifs com_ajax (ou --ajax-url / --render-url de votre laboratoire). Il n'effectue pas de MITM et n'héberge pas d'archives malveillantes.
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --install-probe
python poc.py -u https://joomla.example --mode exploit --install-probe --action slideshow-billboard
python poc.py -u https://joomla.example --mode exploit --render-url "https://joomla.example/index.php?option=com_content&view=article&id=99"
python poc.py -u https://joomla.example --mode exploit --ajax-url "https://joomla.example/index.php?option=com_ajax&group=content&plugin=up&..."
python poc.py --list targets.example.txt --mode check --install-probe -j 8
Après correctif : inspectez plugins/content/up/actions/ à la recherche de dossiers PHP inconnus (recommandations du fournisseur).
body="plugins/content/up"
body="plg_content_up" "up.lomart"
PoC CVE-2026-97163 : Joomla UP (lomart.fr) installation mini non authentifiée via GitHub / déploiement d'actions à distance (≤6.0.29). Détection de version + sondes d'installation com_ajax. PoCbit
CVE-2026-97163 : Dans le paquet mini d'UP, le téléchargement d'actions depuis GitHub peut être déclenché sans session ; comme la vérification TLS est désactivée, une archive malveillante peut être injectée via MITM. Correctifs 6.1.0 / 5.2.1.
Tests autorisés uniquement.