CVE-2026-57827 — RSFiles! Upload file non autenticato → RCE

Disclaimer — solo uso autorizzato. Questo è un proof-of-concept per ricerca sulla sicurezza e test difensivi. Sei responsabile di utilizzarlo solo su sistemi di tua proprietà o su cui hai esplicita autorizzazione scritta per i test. L'uso improprio contro terzi senza consenso è illegale. Vedi SECURITY.md per la politica di divulgazione responsabile.

Exploit + rilevatore standalone per CVE-2026-57827 nel componente RSFiles! (com_rsfiles) per Joomla, versioni < 1.17.12 (corretto nella 1.17.12, CVSS 9.8 / 10.0).

L'upload dal frontend è suddiviso in due attività:

1. rsfiles.checkupload — gate preliminare (permessi + lista consentita delle estensioni)
2. rsfiles.upload — metodo di scrittura (nessun controllo permessi, nessun controllo del tipo di file, nessun CSRF)

L'attività di scrittura può essere chiamata direttamente, saltando il gate preliminare, il che consente a un attaccante non autenticato di caricare un file .php eseguibile in una cartella pubblica ed eseguirlo → RCE non autenticato.

⚠️ Cosa è questo progetto

• ✅ Una re-implementazione pulita e leggibile della catena di attacco descritta per ricercatori e difensori.
• ✅ Include un server mock locale per validare l'intero flusso con zero rischi per qualsiasi sistema reale.
• ✅ Include una modalità solo rilevamento che non effettua alcun upload.

File

Tutti i moduli devono trovarsi nella stessa directory (si importano a vicenda).

Installazione

python3 -m pip install -r requirements.txt   # oppure semplicemente: pip install requests

Utilizzo

1 · Solo rilevamento (nessun upload, sicuro per la ricognizione)

python rsfiles_detect.py -t example.com

Host     : example.com
RSFiles! : YES v1.17.11
Protocol : https
Status   : VULNERABLE  (below 1.17.12)

Multi-host:

python rsfiles_detect.py -f hosts.txt

2 · Exploit completo (target singolo)

python cve_2026_57827.py -t example.com

In caso di successo lo strumento stampa l'URL della shell con il suo token casuale e l'output del comando — quell'output è la prova dell'RCE.

3 · Scansione di massa + report

python cve_2026_57827.py -f targets.txt --threads 30 -o shells.txt --csv report.csv

Test locale (zero rischi)

# Terminale 1 — avvia il mock (vulnerabile)
python mock_server.py 8000 1.17.11

# Terminale 2 — scansionalo
python rsfiles_detect.py -t 127.0.0.1:8000
python cve_2026_57827.py -t 127.0.0.1:8000

1.17.11 / 1.17.10 = vulnerabile · 1.17.12 = corretto.

Note di progettazione

• Payload modulare (payload.py): ogni comportamento (gate, upload, exec, delete, list) è una piccola funzione; i nomi delle funzioni exec sono codificati in base64 così che nomi grezzi come system non compaiano nei byte del file.
• Nomi di file benigni casualizzati (es. cache7f31.php) invece dei classici nomi di shell nascosti con dotfile.
• Contatori incrementali (O(1)) invece di ri-scansionare i risultati.
• Parsing URL a fonte unica tramite common.base_of().

Crediti / ispirazione

Stile modellato su raccolte pubbliche di exploit per componenti Joomla (es. incredibleindishell/joomla-vulnerabilities) e sui write-up dell'advisory di RSJoomla/mysites.guru per questa CVE.

Licenza

MIT — vedi LICENSE. Solo uso per ricerca/difesa.