CVE-2026-65891 — Joomla JCE Rename PoC

Scanner proof-of-concept per CVE-2026-65891 nell'estensione Joomla Content Editor (JCE).

La convalida inadeguata dell'input nella funzione rename del file manager JCE consente a un utente autenticato con permessi di gestione file di:

• creare file nascosti (nomi con prefisso punto, es. .shell.php)
• sovrascrivere silenziosamente file esistenti nel percorso di destinazione

Solo test autorizzati. Utilizzare su sistemi di propria proprietà o per cui si dispone di esplicita autorizzazione al test.

Riepilogo della vulnerabilità

Questa non è una RCE non autenticata. Non confonderla con CVE-2026-48907 (importazione profilo JCE, non autenticata).

Causa principale

I gestori di rename browser / imgmanager di JCE accettavano nomi di file di destinazione che avrebbero dovuto essere rifiutati:

• nomi che iniziano con . (nascosti su POSIX)
• rinomine che sostituiscono un file esistente senza conferma

Corretto in 2.20.2: convalida dell'estensione su rename/copia/spostamento e nessuna sovrascrittura silenziosa.

Cosa fa questo PoC

check (senza credenziali)

• Rileva l'installazione di Joomla + JCE
• Legge la versione di JCE da jce.xml / asset
• Segnala le versioni < 2.20.2

probe / exploit (credenziali richieste)

1. Accesso tramite /administrator/ (o --frontend-login)
2. Ottiene il token CSRF di Joomla
3. Carica un .txt segnaposto tramite plugin.rpc (plugin browser)
4. Rinomina in .cve65891_<random>.txt (nascosto)
5. GET /images/.cve65891_*.txt — se il segnaposto è leggibile → EXPLOITED

Installazione

git clone https://github.com/YOUR_USER/CVE-2026-65891.git
cd CVE-2026-65891
pip install -r requirements.txt

Requisiti: Python 3.10+

Utilizzo

# Scansione versione/fingerprint (bulk, senza auth)
python poc_cve_2026_65891.py -f targets.txt -m check -j 30 -o version_hits.txt

# Singolo target — controllo completo
python poc_cve_2026_65891.py -u https://joomla.example -m check -v

# Test rename autenticato
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --user editor --pass 'YourPassword' -v

# Cookie di sessione invece della password
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --cookie-file cookie.txt -v

Opzioni

Modalità

Esempio di output

EXPLOITED  https://joomla.example  joomla=True  jce=True  ver=2.20.1  auth=YES  upload=YES  rename=YES  hidden=YES  url=https://joomla.example/images/.cve65891_a1b2c3d4.txt
VULNERABLE https://site.example     joomla=True  jce=True  ver=2.9.99.9  rename=YES  err=rename_ok_but_hidden_not_readable
SUSPECT    https://old.example     joomla=True  jce=True  ver=2.20.1  err=need_auth_--user_--pass_or_--cookie-file

Solo le righe VULNERABLE e EXPLOITED vengono scritte in -o.

Prerequisiti per probe/exploit

L'account di test deve avere un profilo editor JCE con:

• Accesso a File browser / Image manager
• Permesso di Upload
• Permesso di Rename

Tipicamente: Editor, Manager o Administrator — non un semplice utente registrato.

Mitigazione

1. Aggiorna JCE a 2.20.2 o successiva
   Extensions → Manage → Update oppure scarica da joomlacontenteditor.net

2. Fino alla correzione: disabilita Rename nelle impostazioni del profilo JCE per i gruppi di utenti non fidati (Image Manager, File Browser).

Rilevamento

Cerca richieste autenticate verso:

POST /index.php?option=com_jce&task=plugin.rpc&plugin=browser

Con method=rename / renameItem e nomi di destinazione che iniziano con ..

File nascosti inattesi nei percorsi di upload JCE (/images/, /media/).

Disclaimer legale

Questo strumento è destinato solo a ricerca sulla sicurezza, istruzione e test di penetrazione autorizzati. L'accesso non autorizzato a sistemi informatici è illegale. L'autore non si assume alcuna responsabilità per un uso improprio.

Riferimenti

• NVD — CVE-2026-65891
• JCE — joomlacontenteditor.net
• OpenCVE

Licenza

MIT — vedi LICENSE.