Advisory (do mapa de origem)

O advisory nomeia o modelo de origem do administrador. O HTTP é com_jem task=source.save, não uma ação ajax=. O método PHP save() não é a URL. PR:H — POST não autenticado não é este CVE.

Entrada

• Método: POST
• Caminho: /administrator/index.php
• Roteador: com_jem task=source.save (JemControllerSource::save → JemModelSource::save). Requer sessão de administrador (core.edit com_jem) e um token CSRF válido. Primeiro GET source.edit&id=<base64 do nome do arquivo> para que o nome do arquivo da sessão corresponda.
• Notas: CVE-2026-77991: JemModelSource::save faz File::write() de jform[source] em media/com_jem/css/<filename>. No 5.0.0, resolveSourceFile apenas limpa o caminho com InputFilter e bloqueia .. ; ele NÃO exige .css e NÃO recusa php. O 5.0.1 adiciona JemCssFilePolicy::isValidFileName (deve terminar em .css, sem segmentos executáveis). RCE privilegiada: faça login como admin/labadmin1234, edite id=base64('poc_witness.php'), salve PHP apenas com echo (não é um shell). O witness GET /media/com_jem/css/poc_witness.php contém POC_WITNESS_77991.

Cadeia de chamadas

• POST /administrator/index.php login (admin/labadmin)
• GET /administrator/index.php?option=com_jem&task=source.edit&id=<base64 poc_witness.php> (JemControllerSource::edit)
• POST option=com_jem task=source.save jform[filename]+jform[source]+token (controllers/source.php:136)
• JemModelSource::save File::write media/com_jem/css/<file> (models/source.php:359-396)
• GET /media/com_jem/css/poc_witness.php

Pré-condições do lab

• Joomla 5 + PHP 8.3 com JEM 5.0.0 instalado
• Conta de administrador admin/labadmin com core.edit em com_jem
• media/com_jem/css gravável

Witness

GET /media/com_jem/css/poc_witness.php retorna POC_WITNESS_77991. Login 200 HTML ou falha de token não é isso.

Não é sucesso

• HTML genérico 200 da página inicial do Joomla
• falha de login / JINVALID_TOKEN
• COM_JEM_CSSMANAGER_ERROR_SOURCE_FILE_NOT_FOUND
• gravar apenas um arquivo .css (gerenciador de CSS pretendido)
• reverse shell ou conexão de saída
• requisição não autenticada

Patch / remediação

Faça isto primeiro: Atualize o JEM - Joomla Event Manager para 5.0.1 ou mais recente.

Verifique após a atualização

• Execute novamente CVE-2026-77991-Abraxas-Labs.py contra a versão corrigida: o witness mapeado não deve aparecer.
• Confirme o advisory do fornecedor / changeset na árvore implantada (ver referências).
• Uma assinatura de WAF é atraso, não um patch.

Se você não puder atualizar imediatamente

• Desative ou isole o componente afetado.
• Procure pela condição de witness em produção (novos usuários privilegiados, arquivos inesperados, linhas injetadas — o que o mapa deste CVE nomear).

Reprodução (lab autorizado)

Alvo apenas http://127.0.0.1:8088 (ou o loopback que você vinculou). Não aponte este script para a internet.

Sucesso é o witness acima no corpo da resposta. HTML genérico 200 não é isso.

Imagens do lab

Stack de loopback usada para reprodução. Imagens oficiais, a menos que um Dockerfile nesta pasta compile a partir do código-fonte.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

Vincule a árvore do produto vulnerável ao lado do Compose se o YAML montar um diretório local (zip do plugin / tag de origem da tabela de versões). Não publique nada exceto 127.0.0.1.

Referências

• CVE-2026-77991 · NVD

• CVE-2026-77991 · CVE.org

• www.joomlaeventmanager.net/

• github.com/advisories/GHSA-gh3c-9wwf-mj2v

• nvd.nist.gov/vuln/detail/CVE-2026-77991

• www.joomlaeventmanager.net

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estruturados)

Aviso legal

Este pacote é para o fornecedor, o proprietário do site e laboratórios licenciados. O script se comunica com 127.0.0.1. Usá-lo contra sistemas que você não possui não é autorizado pela Abraxas Labs. Sem garantia.

abraxaslabs.tech · github.com/abraxas · @abraxas_null