CVE-2026-90907 — Joomla! CMS अनधिकृत उपयोगकर्ता खाता निर्माण

केवल अधिकृत सुरक्षा परीक्षण के लिए। उन सिस्टमों के विरुद्ध exploit मोड चलाना जिनका आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है, अवैध है। डिफ़ॉल्ट मोड (CHECK) गैर-विनाशकारी है और कुछ भी नहीं बनाता।

CLI टूल जो CVE-2026-90907 का पता लगाता है और (वैकल्पिक रूप से, -U के साथ) exploit करता है, जो Joomla! CMS कोर में एक मध्यम-गंभीरता प्राधिकरण बायपास (CVSS 6.9) है जो एक अप्रमाणित रिमोट हमलावर को com_users → profile.save कंट्रोलर के माध्यम से अनधिकृत उपयोगकर्ता खाता निर्माण को ट्रिगर करने की अनुमति देता है — तब भी जब Global Configuration में सार्वजनिक पंजीकरण अक्षम हो।

भेद्यता सारांश

फ़ील्ड	मान
CVE ID	CVE-2026-90907
गंभीरता	मध्यम — CVSS 6.9
प्रकार	प्राधिकरण बायपास / अनुचित पहुँच नियंत्रण (CWE-862)
घटक	com_users घटक, profile.save कार्य
हमला वेक्टर	रिमोट, अप्रमाणित, समान-सत्र दो-चरणीय POST
इसमें ठीक किया गया	Joomla! 5.4.9 और 6.1.4 (सुरक्षा रिलीज़, 2026-09-29)

प्रभावित संस्करण

Joomla! सुरक्षा बुलेटिन (2026-09-29) और सार्वजनिक सलाहकार स्रोतों के अनुसार:

• Joomla! 1.5.0 – 5.4.8
• Joomla! 6.0.0 – 6.1.3

Joomla! 3.x भी प्रभावित है लेकिन End-of-Life है: इसे आधिकारिक पैच नहीं मिलेगा — माइग्रेशन की योजना बनाएँ। टूल का संस्करण बैनर जाँच सूचनात्मक है; निर्णय व्यवहार-आधारित है (नीचे देखें)।

प्रभाव

हमलावर-नियंत्रित खाता एक निम्न-विशेषाधिकार वाला फ्रंट-एंड खाता है जिसके पास कोई प्रशासनिक या बैकएंड पहुँच नहीं है। फिर भी यह हमलावर को निम्नलिखित करने की अनुमति देता है:

• पंजीकरण स्पष्ट रूप से अक्षम होने पर भी खाते बनाना
• उपयोगकर्ता नाम / ईमेल पते आरक्षित करना
• पंजीकरण-हुक प्लगइन्स को अप्रत्याशित रूप से ट्रिगर करना
• प्रमाणित सत्र के रूप में आंतरिक एप्लिकेशन लॉजिक की जाँच करना

मूल कारण

ProfileModel::save() केवल तब $data['username'] को unset() करता है जब उपयोगकर्ता नाम अनुरूप माना जाता है। isUsernameCompliant उपयोगकर्ता स्थिति com_users.edit.profile.data से प्राप्त होता है, जिसे कंट्रोलर पूर्ण अनुरोध से भरता है जब फ़ॉर्म सत्यापन विफल होता है। कंट्रोलर आने वाले अनुरोध की लॉगिन स्थिति को सत्यापित करने में भी विफल रहता है। इसलिए, एक अतिथि सत्र के भीतर:

1. W1 (seed) — एक गैर-अनुरूप उपयोगकर्ता नाम के साथ और privacyconsent के बिना POST → सत्यापन विफल → गंदा उपयोगकर्ता नाम सत्र उपयोगकर्ता स्थिति में बना रहता है (अभी तक कुछ भी नहीं बनाया गया)।
2. W2 (exploit) — समान सत्र, एक स्वच्छ उपयोगकर्ता नाम और jform[privacyconsent][privacy]=1 के साथ पुनः सबमिट करें → unset() गार्ड छोड़ दिया जाता है → INSERT INTO #__users → user_id > 0 के साथ 303 रीडायरेक्ट।
3. विभेदक लॉगिन सत्यापन — सही बनाम गलत पासवर्ड के साथ user.login POST करें (फ़ील्ड नाम password है, passwd नहीं) और फ़्लैश संदेश पढ़ें: सही → "you cannot access the private section" (प्रमाणीकरण ठीक, ACL अवरुद्ध) / गलत → "do not match"। विभेद ही साक्ष्य है।

स्थापना

git clone https://github.com/aorozco-sys/CVE-2026-90907.git
cd CVE-2026-90907
pip install -r requirements.txt   # only dependency: requests

उपयोग

# CHECK mode (default) — non-destructive: never sends consent, never creates an account
python3 joomla_cve_2026_90907.py https://ejemplo.com

# Verbose CHECK (full request/response log on stderr)
python3 joomla_cve_2026_90907.py https://ejemplo.com --no-color -v

# EXPLOIT mode (-U) — creates a real account in #__users (authorized targets only!)
python3 joomla_cve_2026_90907.py https://ejemplo.com \
    -U audit.user -E [email protected] -N "CVE Audit"

# Through a proxy (e.g. Burp Suite) with a custom timeout
python3 joomla_cve_2026_90907.py https://ejemplo.com -U audit.user \
    --proxy http://127.0.0.1:8080 --timeout 30

# Exploit without the differential login verification
python3 joomla_cve_2026_90907.py https://ejemplo.com -U audit.user \
    --no-verify-login

फ़्लैग

फ़्लैग	विवरण
TARGET	बेस URL (सामान्यीकृत; कोई ट्रेलिंग स्लैश नहीं)
-U/--username	EXPLOIT मोड सक्षम करता है। -U के बिना → गैर-विनाशकारी CHECK
-P/--password	डिफ़ॉल्ट: secrets से उत्पन्न, 16 अक्षर अल्फ़ान्यूमेरिक+प्रतीक, हमेशा प्रिंट होता है
-E/--email	डिफ़ॉल्ट: <username>@example.invalid
-N/--name	डिफ़ॉल्ट: CVE Audit
-o/--output	साक्ष्य निर्देशिका (डिफ़ॉल्ट cwd के अंतर्गत evidence_cve90907_<ts>)
--proxy URL	अनुरोधों के लिए प्रॉक्सी (Burp: http://127.0.0.1:8080)
--timeout	डिफ़ॉल्ट 20 s
--ua	User-Agent (डिफ़ॉल्ट cve-2026-90907-audit/1.0)
--no-verify-login	लॉगिन डिफ़रेंशियल छोड़ता है (exploit मोड)
--verify-ssl	TLS सत्यापित करें (डिफ़ॉल्ट: सत्यापित न करें)
--no-color	कोई ANSI रंग नहीं
-v/--verbose	stderr पर पूर्ण req/resp लॉग

एग्ज़िट कोड (CI-अनुकूल)

कोड	अर्थ
0	ठीक / भेद्य नहीं / अज्ञात
1	भेद्य (check में LIKELY, exploit में CONFIRMED)
2	परिचालन त्रुटि (नेटवर्क, निर्भरता, आदि)

निर्णय

• VULNERABLE (LIKELY) — check: टोकन ठीक + W1 अनाम रूप से संसाधित (Location में profile के साथ 303, लॉगिन पर रीडायरेक्ट नहीं) + सत्यापन-त्रुटि फ़्लैश (जैसे गोपनीयता-नीति आवश्यक संदेश)। निश्चित पुष्टि = exploit मोड।
• NOT VULNERABLE (behavioral) — W1 लॉगिन पर रीडायरेक्ट करता है या 401/403/404 उत्तर देता है: अनाम प्रसंस्करण अवरुद्ध।
• UNKNOWN — अनुपलब्ध संकेत (कोई टोकन नहीं, अपठनीय संस्करण, आदि)। कमियाँ कंसोल पर और summary.json में सूचीबद्ध होती हैं।
• VULNERABLE (CONFIRMED) — exploit: W2 के बाद user_id > 0 के साथ Location।

साक्ष्य आर्टिफ़ैक्ट

प्रत्येक रन एक टाइमस्टैम्प वाली -o निर्देशिका लिखता है जिसमें 00_token.txt, 01_version.txt, 02_w1_seed.txt, 03_w2_exploit.txt, 04_login_correct.txt, 05_login_wrong.txt और summary.json होते हैं। प्रत्येक फ़ाइल पूर्ण REQUEST (method/URL/key headers/body), RESPONSE (status, Location, Server, निकाला गया फ़्लैश, body के पहले 500 बाइट्स) और ISO टाइमस्टैम्प रिकॉर्ड करती है — पेंटेस्ट रिपोर्ट से संलग्न करने के लिए तैयार।

परिचालन सुरक्षा

• CHECK मोड कभी privacyconsent नहीं भेजता और एक गैर-अनुरूप उपयोगकर्ता नाम (probe()) का उपयोग करता है: सहेजना फ़ॉर्म नियमों पर विफल होता है और कुछ भी स्थायी नहीं होता।
• निरस्त गार्ड: यदि W1 ने कभी user_id > 0 लौटाया (ऐसा नहीं होना चाहिए), तो exploit मोड W2 से पहले निरस्त हो जाता है।
• सफल exploit के बाद टूल एक सफ़ाई चेतावनी प्रिंट करता है: Joomla Admin → Users के माध्यम से बनाए गए खाते को हटाएँ (यह user_usergroup_map पंक्ति को भी हटा देता है)।

उपचार

• उत्पादन इंस्टेंस को तुरंत Joomla! 5.4.9 या 6.1.4 में अपग्रेड करें।
• उन साइटों पर जहाँ पंजीकरण अक्षम था, बैकएंड Users को पंजीकरण तिथि के अनुसार क्रमबद्ध करें और पैचिंग से पहले बनाए गए अपरिचित खातों के लिए डिफ़ॉल्ट समूह का ऑडिट करें।

संदर्भ

• CVE-2026-90907 — NVD
• CVE-2026-90907 — CVE.org record
• Joomla! सुरक्षा बुलेटिन / समन्वित सुरक्षा रिलीज़ 2026-09-29 (16 फ़िक्स, इनमें यह भी शामिल — 5.4.9 और 6.1.4 में फ़िक्स किया गया)

लाइसेंस

MIT — देखें LICENSE।