Advisory (source map से)

Advisory administrator source model का नाम देती है। HTTP com_jem task=source.save है, न कि ajax action=। PHP method save() URL नहीं है। PR:H — unauthenticated POST यह CVE नहीं है।

Entry

• Method: POST
• Path: /administrator/index.php
• Router: com_jem task=source.save (JemControllerSource::save → JemModelSource::save)। administrator session (core.edit com_jem) और वैध CSRF token आवश्यक है। पहले GET source.edit&id=<base64 of filename> करें ताकि session filename मेल खाए।
• Notes: CVE-2026-77991: JemModelSource::save jform[source] को media/com_jem/css/<filename> पर File::write() करता है। 5.0.0 में resolveSourceFile केवल path को InputFilter-clean करता है और .. को ब्लॉक करता है; यह .css की आवश्यकता नहीं रखता और php को अस्वीकार नहीं करता। 5.0.1 JemCssFilePolicy::isValidFileName जोड़ता है (.css में समाप्त होना चाहिए, कोई executable segment नहीं)। Privileged RCE: admin/labadmin1234 के रूप में लॉगिन करें, id=base64('poc_witness.php') संपादित करें, echo-only PHP सहेजें (shell नहीं)। Witness GET /media/com_jem/css/poc_witness.php में POC_WITNESS_77991 होता है।

Call chain

• POST /administrator/index.php login (admin/labadmin)
• GET /administrator/index.php?option=com_jem&task=source.edit&id=<base64 poc_witness.php> (JemControllerSource::edit)
• POST option=com_jem task=source.save jform[filename]+jform[source]+token (controllers/source.php:136)
• JemModelSource::save File::write media/com_jem/css/<file> (models/source.php:359-396)
• GET /media/com_jem/css/poc_witness.php

Lab preconditions

• JEM 5.0.0 स्थापित के साथ Joomla 5 + PHP 8.3
• com_jem पर core.edit वाला administrator account admin/labadmin
• media/com_jem/css लिखने योग्य

Witness

GET /media/com_jem/css/poc_witness.php POC_WITNESS_77991 लौटाता है। Login 200 HTML या token fail यह नहीं है।

Not success

• generic 200 Joomla homepage HTML
• login failed / JINVALID_TOKEN
• COM_JEM_CSSMANAGER_ERROR_SOURCE_FILE_NOT_FOUND
• केवल .css फ़ाइल लिखना (इच्छित CSS manager)
• reverse shell या outbound connect
• unauthenticated request

Patch / remediation

पहले यह करें: JEM - Joomla Event Manager को 5.0.1 या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

• patched build के विरुद्ध CVE-2026-77991-Abraxas-Labs.py पुनः चलाएँ: mapped witness नहीं दिखना चाहिए।
• deployed tree में vendor advisory / changeset की पुष्टि करें (references देखें)।
• WAF signature देरी है, patch नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित component को अक्षम या अलग करें।
• production पर witness condition की खोज करें (नए privileged users, अप्रत्याशित फ़ाइलें, injected rows — जो भी इस CVE का map नाम देता है)।

Reproduction (authorized lab)

लक्ष्य केवल http://127.0.0.1:8088 (या जो loopback आपने बाइंड किया है)। इस स्क्रिप्ट को इंटरनेट पर निर्देशित न करें।

सफलता response body में ऊपर दिया गया witness है। Generic 200 HTML यह नहीं है।

Lab images

प्रतिलिपि के लिए उपयोग किया गया loopback stack। आधिकारिक images, जब तक इस फ़ोल्डर में Dockerfile स्रोत से build न करे।

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

यदि YAML स्थानीय directory माउंट करता है (version table से plugin zip / source tag) तो vulnerable product tree को Compose के बगल में बाइंड करें। 127.0.0.1 के अलावा कुछ भी प्रकाशित न करें।

References

• CVE-2026-77991 · NVD

• CVE-2026-77991 · CVE.org

• www.joomlaeventmanager.net/

• github.com/advisories/GHSA-gh3c-9wwf-mj2v

• nvd.nist.gov/vuln/detail/CVE-2026-77991

• www.joomlaeventmanager.net

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

Disclaimer

यह pack vendor, site owner, और licensed labs के लिए है। स्क्रिप्ट 127.0.0.1 से बात करती है। जिन सिस्टम के आप मालिक नहीं हैं उनके विरुद्ध इसका उपयोग Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null