CVE-2026-94130 — Joomla用YouTube Gallery（SQLインジェクション）

CVE-2026-94130 のPython 3 PoC — YouTube Gallery（com_youtubegallery、joomlaboat.com）。

説明（PoCbit / GitHub）

CVE-2026-94130 — Joomla用YouTube Gallery ≤ 5.7.2 は、動画検索および並べ替えのリクエスト処理において未認証のSQLインジェクション（CWE-89、CVSS 4.0 9.3 Critical）を許します。攻撃者はログインなしで読み取りクエリにSQLを注入できます。5.7.3で修正済み（2026年9月）。

PoCページ: https://pocbit.org/pocs/cve-2026-94130

PoCbit

カタログ: https://pocbit.org/pocs/

製品	Joomla用YouTube Gallery拡張機能
コンポーネント	com_youtubegallery
影響を受けるバージョン	1.0.0 – 5.7.2
修正済み	5.7.3
ベクター	公開ギャラリー / yg_api=1 JSON API。パラメータには ygsearchfields、ygsearchquery、並べ替え関連のGETパラメータが含まれる
割り当て者	Joomla CNA

使用方法

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --sqli-probe --listid 1 --themeid 1
python poc.py -u https://joomla.example --mode check --scan-ids --sqli-probe --delay 5
python poc.py --list targets.example.txt --mode check -j 10 --sqli-probe

APIサーフェスの例（有効な listid と themeid が必要）:

/index.php?option=com_youtubegallery&view=youtubegallery&listid=1&themeid=1&yg_api=1
&ygsearchfields=es_title&ygsearchquery=...

FOFA / Google

body="com_youtubegallery"
inurl:"option=com_youtubegallery"

GitHub About（英語）

Joomla YouTube Gallery（joomlaboat.com）≤ 5.7.2 における未認証SQLインジェクション。公開 yg_api エンドポイントの動画検索/並べ替えを介します。Pythonによるチェック/エクスプロイトPoC — PoCbit。

概要（トルコ語）

CVE-2026-94130: Joomla YouTube Gallery プラグイン（≤ 5.7.2）における未認証の SQL インジェクション。検索および並べ替えリクエストを通じてデータベース読み取りクエリに干渉する。5.7.3 で修正済み。CVSS 4.0 9.3 Critical。

法的注意

許可されたテストのみ。--sqli-probe / --mode exploit は意図的なSQLペイロード（SLEEP を含む）を送信します。