CVE-2026-97160 — Iniezione di codice PHP nel plugin UP (Joomla)

PoC in Python 3 per CVE-2026-97160 — UP (Universal Plugin) per Joomla (lomart.fr / up.lomart.fr).

Descrizione (PoCbit / GitHub)

CVE-2026-97160 — UP plugin 5.0.0–5.2.0 e 6.0.0–6.0.29 consentono l'iniezione di codice PHP tramite gli shortcode {up php=...} elaborati con eval() (CWE-94). Il CNA classifica questa vulnerabilità come autenticata / con privilegi elevati; prima della 6.1.0 / 5.2.1, gli autori di articoli potevano aggirare i controlli sulle azioni riservate tramite la normalizzazione dei nomi tra salvataggio e rendering, così il PHP presente in un articolo veniva eseguito per ogni visitatore. CVSS 4.0 9.4 Critico. Correzione: UP 6.1.0 (Joomla 5.2+) o 5.2.1 (Joomla 3.10–5.1).

Correlati (stessa release): CVE-2026-97161 (lettura file / traversal), CVE-2026-97162 (SQLi), CVE-2026-97163 (mini-installazione GitHub).

Pagina PoC: https://pocbit.org/pocs/cve-2026-97160

PoCbit

Catalogo: https://pocbit.org/pocs/

Prodotto	Plugin UP per Joomla (plg_content_up)
Percorso	plugins/content/up/
Affette	5.0.0–5.2.0, 6.0.0–6.0.29
Corrette	5.2.1, 6.1.0
Vettore	Shortcode di articolo/modulo {up php=...}
Assegnatario	Joomla CNA

Utilizzo

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10

Lab: Come amministratore (o autore su build vulnerabili), aggiungi al corpo dell'articolo:

{up php=echo 'POCBIT-97160-OK';}

Pubblica, poi esegui --mode exploit --article-url <URL pubblico>.

FOFA / Google

body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"

GitHub About (EN)

PoC di CVE-2026-97160: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — iniezione di codice tramite eval dello shortcode privilegiato {up php=} (bypass dell'autore sulle build precedenti). PoCbit

Özet (TR)

CVE-2026-97160: Esecuzione di PHP sul server tramite {up php=...} nel plugin UP di Joomla; corretto con 6.1.0 / 5.2.1.

Note legali

Solo test autorizzati. Non pubblicare shortcode malevoli su siti di cui non sei proprietario.