abraxas/joomla-menu-items-apiJoomla 6.1.3 - Alta - Remota - ACL - API de itens de menu remanescente
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · joomla-menu-items-api
Análise: https://abraxaslabs.tech/research/joomla-menu-items-api
Classe: Privilégio residual Alcance: Remoto
Joomla CMS 6.1.3 (0f2d4de) - Open Source Matters
A interface de administração para itens de menu verifica com_menus.menu.{id} e recusa menutype == main. api/components/com_menus/src/Controller/ItemsController.php não possui allowAdd / allowEdit, portanto o ApiController apenas exige core.manage mais core.create / core.edit em com_menus.
Um usuário de token que pode gerenciar um menu pode fazer POST em /api/index.php/v1/menus/administrator/items para um menu ao qual é negado na interface, incluindo o menu protegido main do administrador.
| ID | ainda sem CVE |
| Classe | Privilégio residual / bypass de autorização |
| Alcance | Remoto (token de API com core.login.api) |
| CWE | CWE-863 |
| CVSS | Alto: 8.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Produto | Joomla CMS |
| Afetado | 6.1.3 (0f2d4de4729eb951e0878fec98c7990da07915b2) |
| Autenticação | Usuário remoto de API com core.login.api + core.manage + core.create/core.edit em com_menus, não Super User. O padrão de core.login.api é apenas Super User. |
| Licença | GNU Affero GPL v3.0 |
| Laboratório | apenas 127.0.0.1 |
Usuário de token que pode criar itens apenas no menu A. Ele ainda não pode instalar extensões, a menos que já tenha essa permissão. Ele não se torna Super User a partir deste resíduo.
| Privilégio | Método / caminho | Tipo | Comprovado em laboratório ou inferido |
|---|---|---|---|
| Criar um item em um menu ao qual é negado | POST /api/index.php/v1/menus/administrator/items com menutype de B | integridade | Comprovado em laboratório. HTTP 200, item 102 em staffmenu, título poc-JOOMLA-MENU-ITEMS-API-WITNESS |
Plantar uma URL no menu protegido main do administrador | Mesmo POST com menutype=main | integridade | Comprovado em laboratório, HTTP 200. A interface allowEdit retorna false para main |
| Direcionar a equipe para um login falso ou ocultar um item real de administração | Item de URL publicado em um menu de administração | integridade / reconhecimento | Inferido a partir da escrita. O laboratório plantou https://example.invalid/ |
| Editar ou excluir itens em menus que não possui | PATCH / DELETE da API usam o mesmo allow* ausente | integridade | Inferido. O laboratório exercitou a criação |
| Instalar extensões ou tornar-se Super User | Requer outra ACL | n/a | Fechado. O Manager não é Super User |
Fechado nesta versão: adicionar/salvar na interface em staffmenu para o mesmo usuário (not permitted). Adicionar na interface em labmenu ainda funciona. A verificação core.admin da API de grupos da 6.1.1 permanece intacta.
Fixe a versão 6.1.3 após a onda JSST de 2026. O ItemController do administrador já faz a coisa certa:
return $user->authorise('core.create', 'com_menus.menu.' . $menutypeID);
if ($item->menutype == 'main') {
return false;
}
return $user->authorise('core.edit', 'com_menus.menu.' . (int) $menutypeID);
O controller de itens da API não sobrescreve allowAdd / allowEdit. O ApiController padrão verifica apenas o componente core.manage mais core.create / core.edit. O caminho canSave do model verifica apenas o componente core.edit. A cópia/movimentação em lote já verifica o asset do menu.
Caminhos errados já registrados: ler HTTP 200 da UI como permissão (o corpo é "not permitted"); tratar core.manage em com_menus como suficiente na UI (a UI ainda depende de com_menus.menu.{id}); um Manager padrão sem core.login.api. Cenário: um reverse shell. O oráculo é API 200 em staffmenu e main mais negação na UI em B.
Sobras do mesmo pin: levels API, media override, articles catid.
python3 joomla-menu-items-api-Abraxas-Labs.py
ou
cd lab
./run.sh
Direcione apenas para http://127.0.0.1:19530. Imagem joomla:6.1.3-php8.3-apache.
SUCCESS joomla-menu-items-api api-b-http=200 item-id=102 menutype=staffmenu api-main-http=200 ui-add-b=200 ui-save-b=200 JOOMLA-MENU-ITEMS-API-WITNESS
ui-add-b / ui-save-b retornam HTTP 200; a negação de B é o corpo "not permitted" da UI, não um status 403.
Copie ItemController::allowAdd / allowEdit (e delete) para o controller da API, incluindo o bloco main. Verifique o asset do tipo de menu em canSave da mesma forma.
0f2d4de4729eb951e0878fec98c7990da07915b2)ItemsController.phpItemController.phpGNU Affero GPL v3.0. Consulte LICENSE. Apenas laboratório loopback. Sem garantias.