CVE-2026-65891 — Joomla JCE Rename PoC

CVE-2026-65891 の概念実証（PoC）スキャナです。Joomla Content Editor (JCE) 拡張機能を対象としています。

JCE ファイルマネージャーの rename 関数における不適切な入力検証により、ファイル管理権限を持つ認証ユーザーが以下の操作を実行できてしまいます:

• 隠しファイル（ドットで始まる名前、例: .shell.php）を作成する
• 宛先パスにある既存ファイルをサイレントに上書きする

許可されたテストのみ。 自分が所有するシステム、または明示的なテスト許可を得たシステムでのみ使用してください。

脆弱性の概要

これは認証不要の RCE ではありません。CVE-2026-48907（JCE プロファイルインポート、認証不要）と混同しないでください。

根本原因

JCE の browser / imgmanager rename ハンドラーは、拒否されるべき宛先ファイル名を受け入れていました:

• . で始まる名前（POSIX では隠しファイル）
• 確認なしに既存ファイルを置き換える rename

2.20.2 で修正: rename / copy / move 時の拡張子検証と、サイレント上書きの防止。

この PoC の機能

check（認証情報なし）

• Joomla + JCE のインストールを検出
• jce.xml / アセットから JCE バージョンを読み取り
• < 2.20.2 のバージョンにフラグを立てる

probe / exploit（認証情報が必要）

1. /administrator/ 経由でログイン（または --frontend-login）
2. Joomla の CSRF トークンを取得
3. plugin.rpc（browser プラグイン）経由でマーカー .txt をアップロード
4. .cve65891_<random>.txt（隠しファイル）にリネーム
5. GET /images/.cve65891_*.txt — マーカーが読み取れた場合 → EXPLOITED

インストール

git clone https://github.com/YOUR_USER/CVE-2026-65891.git
cd CVE-2026-65891
pip install -r requirements.txt

必要条件: Python 3.10+

使用方法

# Version / fingerprint scan (bulk, no auth)
python poc_cve_2026_65891.py -f targets.txt -m check -j 30 -o version_hits.txt

# Single target — full check
python poc_cve_2026_65891.py -u https://joomla.example -m check -v

# Authenticated rename test
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --user editor --pass 'YourPassword' -v

# Session cookie instead of password
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --cookie-file cookie.txt -v

オプション

モード

出力例

EXPLOITED  https://joomla.example  joomla=True  jce=True  ver=2.20.1  auth=YES  upload=YES  rename=YES  hidden=YES  url=https://joomla.example/images/.cve65891_a1b2c3d4.txt
VULNERABLE https://site.example     joomla=True  jce=True  ver=2.9.99.9  rename=YES  err=rename_ok_but_hidden_not_readable
SUSPECT    https://old.example     joomla=True  jce=True  ver=2.20.1  err=need_auth_--user_--pass_or_--cookie-file

-o には VULNERABLE と EXPLOITED の行のみが書き込まれます。

probe / exploit の前提条件

テストアカウントには、以下の権限を持つ JCE エディタープロファイルが必要です:

• ファイルブラウザー / イメージマネージャーへのアクセス
• アップロード権限
• Rename 権限

通常は Editor、Manager、Administrator です。通常の登録ユーザーでは不十分です。

緩和策

1. JCE を 2.20.2 以降にアップグレード
   Extensions → Manage → Update または joomlacontenteditor.net からダウンロード

2. パッチ適用までの間: 信頼できないユーザーグループ（Image Manager、File Browser）に対して JCE プロファイル設定で Rename を無効にしてください。

検出

以下への認証済みリクエストを探します:

POST /index.php?option=com_jce&task=plugin.rpc&plugin=browser

method=rename / renameItem と、. で始まる宛先名を伴うもの。

JCE のアップロードパス（/images/、/media/）配下にある予期しない隠しファイル。

法的免責事項

このツールはセキュリティ研究、教育、および許可を得たペネトレーションテスト専用です。コンピューターシステムへの不正アクセスは違法です。作者は不正使用について一切の責任を負いません。

参照

• NVD — CVE-2026-65891
• JCE — joomlacontenteditor.net
• OpenCVE

ライセンス

MIT — LICENSE を参照してください。