CVE-2026-97163 — UP プラグイン GitHub リモートコードインストール (Joomla)

Joomla 用 CVE-2026-97163 — UP (Universal Plugin) (lomart.fr) の Python 3 PoC。

説明 (PoCbit / GitHub)

CVE-2026-97163 — UP 5.0.0–5.2.0 および 6.0.0–6.0.29（特にバンドルされたアクションを含まない mini パッケージ）は、未認証のリモートコードインストールを許可します。匿名リクエストによって、メンテナの GitHub リポジトリからアクションコードのオンデマンドダウンロードを plugins/content/up/actions/ に開始でき、そこで Joomla がそれを実行します。このフェッチは TLS 証明書検証が無効の状態で実行されたため、ネットワーク上に位置する攻撃者 (MITM) が悪意のあるアーカイブに差し替えることが可能でした (CWE-22、CWE-284)。CVSS 4.0 10.0 Critical (PR:N)。修正: UP 6.1.0 / 5.2.1（認証制限 + TLS 検証の復元）。

調査: mySites.guru — UP 6.1.0 セキュリティ修正

関連（同一リリース）: CVE-2026-97160（PHP ショートコード）、CVE-2026-97161（ファイル読み取り）、CVE-2026-97162（SQLi）。

PoC ページ: https://pocbit.org/pocs/cve-2026-97163

PoCbit

カタログ: https://pocbit.org/pocs/

製品	UP プラグイン (plg_content_up)
影響を受けるバージョン	5.0.0–5.2.0、6.0.0–6.0.29
修正済み	5.2.1、6.1.0
ベクター	ミニモード: アクションの初回使用 → GitHub zip → プラグイン配下に展開
影響	整合性 / RCE（MITM またはフェッチ経路の侵害を伴う場合）

この PoC は UP をフィンガープリントし、脆弱なバージョンをチェックし、com_ajax パターン（またはラボ環境からの --ajax-url / --render-url）をプローブします。MITM の実行や悪意のあるアーカイブのホストは行いません。

使用方法

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --install-probe
python poc.py -u https://joomla.example --mode exploit --install-probe --action slideshow-billboard
python poc.py -u https://joomla.example --mode exploit --render-url "https://joomla.example/index.php?option=com_content&view=article&id=99"
python poc.py -u https://joomla.example --mode exploit --ajax-url "https://joomla.example/index.php?option=com_ajax&group=content&plugin=up&..."
python poc.py --list targets.example.txt --mode check --install-probe -j 8

パッチ適用後: plugins/content/up/actions/ 内に未知の PHP フォルダがないか検査してください（ベンダーのガイダンス）。

FOFA / Google

body="plugins/content/up"
body="plg_content_up" "up.lomart"

GitHub About (EN)

CVE-2026-97163 PoC: Joomla UP (lomart.fr) の未認証 GitHub ミニインストール / リモートアクション展開（≤6.0.29）。バージョン検出 + com_ajax インストールプローブ。PoCbit

概要 (TR)

CVE-2026-97163: UP mini パッケージにおいて、セッションなしで GitHub からのアクションのダウンロード がトリガー可能です。TLS 検証が無効になっているため、MITM によって悪意のあるアーカイブを注入できます。6.1.0 / 5.2.1 のパッチ。

法的通知

許可されたテストのみに使用してください。