murrez/cve-2026-97163PoC in Python per CVE-2026-97163: identifica le versioni del plugin Joomla UP e sonda i trigger di installazione di com_ajax per il deployment remoto di azioni non autenticate.
PoC in Python 3 per CVE-2026-97163 — UP (Universal Plugin) per Joomla (lomart.fr).
CVE-2026-97163 — UP 5.0.0–5.2.0 e 6.0.0–6.0.29 (in particolare il pacchetto mini senza azioni incluse) consentono l'installazione remota di codice non autenticata: una richiesta anonima può avviare un download on-demand del codice delle azioni dal repository GitHub del manutentore in plugins/content/up/actions/, dove Joomla lo esegue. Il recupero avveniva con la verifica del certificato TLS disabilitata, quindi un attaccante posizionato sulla rete (MITM) poteva sostituire un archivio malevolo (CWE-22, CWE-284). CVSS 4.0 10.0 Critico (PR:N). Correzione: UP 6.1.0 / 5.2.1 (restrizioni di autenticazione + verifica TLS ripristinata).
Ricerca: mySites.guru — correzioni di sicurezza UP 6.1.0
Correlate (stessa release): CVE-2026-97160 (shortcode PHP), CVE-2026-97161 (lettura file), CVE-2026-97162 (SQLi).
Pagina PoC: https://pocbit.org/pocs/cve-2026-97163
Catalogo: https://pocbit.org/pocs/
| Prodotto | Plugin UP (plg_content_up) |
| Affette | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Corrette | 5.2.1, 6.1.0 |
| Vettore | Modalità mini: primo utilizzo di un'azione → zip da GitHub → estrazione sotto il plugin |
| Impatto | Integrità / RCE (con MITM o percorso di recupero compromesso) |
Questa PoC identifica UP, verifica le versioni vulnerabili e sonda i pattern di com_ajax (oppure --ajax-url / --render-url dal tuo laboratorio). Non esegue MITM né ospita archivi malevoli.
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --install-probe
python poc.py -u https://joomla.example --mode exploit --install-probe --action slideshow-billboard
python poc.py -u https://joomla.example --mode exploit --render-url "https://joomla.example/index.php?option=com_content&view=article&id=99"
python poc.py -u https://joomla.example --mode exploit --ajax-url "https://joomla.example/index.php?option=com_ajax&group=content&plugin=up&..."
python poc.py --list targets.example.txt --mode check --install-probe -j 8
Post-patch: ispeziona plugins/content/up/actions/ per cartelle PHP sconosciute (indicazioni del fornitore).
body="plugins/content/up"
body="plg_content_up" "up.lomart"
PoC CVE-2026-97163: Joomla UP (lomart.fr) installazione mini da GitHub non autenticata / distribuzione remota di azioni (≤6.0.29). Rilevamento versione + sonde di installazione com_ajax. PoCbit
CVE-2026-97163: Nel pacchetto UP mini è possibile attivare il download di action da GitHub senza sessione; poiché la verifica TLS è disabilitata, tramite MITM è possibile iniettare un archivio malevolo. Patch 6.1.0 / 5.2.1.
Solo test autorizzati.