CVE-2026-49049
Joomla एक्सटेंशन - joomshaper.com - Helix3 टेम्पलेट AJAX हैंडलर तक अप्रमाणित पहुंच
- प्रकाशित
- 29 जून 2026
- अद्यतन
- 12 अग॰ 2026
- सीएनए असाइन करना
- Joomla
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:Nकम · अगले 30 दिन
- प्रतिशत
- 61.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Joomla के लिए Helix3 प्लगइन एक ajax handler task उजागर करता है, जो बिना प्रमाणीकरण वाले हमलावरों को मनमानी फ़ाइलें हटाने, मनमानी JSON फ़ाइलें लिखने और टेम्पलेट पैरामीटर अपडेट करने की अनुमति देता है।
स्रोत
http/cves/2026/CVE-2026-49049.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
तकनीकी विश्लेषण और प्रूफ ऑफ कॉन्सेप्ट (PoC) CVE-2026-49049 के लिए, जो Joomla के लिए JoomShaper Helix3 में एक अप्रमाणित मनमाना फ़ाइल लिखने की कमजोरी है, जिसमें शोषण वेक्टर और शमन मार्गदर्शन शामिल है।
- CVE-2026-49049स्कैनर
CVE-2026-49049 Helix3 (JoomShaper) Joomla अप्रमाणित AJAX RCE स्कैनर
- CVE-2026-49049स्कैनर
CVE-2026-49049 के लिए मास भेद्यता स्कैनर – Joomla Helix3 प्लगइन में अनप्रमाणित रिमोट कोड निष्पादन। मल्टी-थ्रेडेड, निष्पादित और रॉ PHP पेलोड दोनों का पता लगाता है।
- CVE-2026-49049स्कैनर
CVE-2026-49049 के लिए केवल-पठनीय भेद्यता स्कैनर — Helix3 Joomla प्लगइन का अनप्रमाणित AJAX हैंडलर
- CVE-2026-49049स्कैनर
Python स्कैनर और CVE-2026-49049 के लिए proof-of-concept, जो Joomla Helix3 में एक arbitrary file write है जो PHP web shell upload और remote code execution को सक्षम बनाता है।
- Helix3-Mass-Exploiterएक्सप्लॉइट
CVE-2026-49049 के लिए मास स्कैनर और ऑटो-राइट टूल, जो उजागर Joomla Helix3 onAjaxHelix3 हैंडलर का पता लगाता है और अनऑथेंटिकेटेड फ़ाइल-अपलोड राइट ऑपरेशन्स को सत्यापित करता है।
- asdsadsadasdasdsadsadएक्सप्लॉइट
CVE-2026-49049 - Helix3 Joomla Extension के लिए अप्रमाणित फ़ाइल विलोपन, मनमाना लेखन और XSS इंजेक्शन
- CVE-2026-87930एक्सप्लॉइट
Joomla मल्टी-CVE RCE सूट जिसमें Balbooa Forms, Page Builder CK, SP Page Builder, JCE, iCagenda, Helix3, और SP LMS के लिए सात exploit मॉड्यूल हैं, साथ ही x7-panel.php payload deployment भी।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।