CVE-2026-57827 — RSFiles! Upload de Arquivo Não Autenticado → RCE

Aviso legal — uso apenas autorizado. Este é um prova de conceito para pesquisa de segurança e testes defensivos. Você é responsável por usá-lo apenas em sistemas que você possui ou para os quais tem permissão explícita por escrito para testar. O uso indevido contra terceiros sem consentimento é ilegal. Consulte SECURITY.md para a postura de divulgação responsável.

Exploit + detector independente para CVE-2026-57827 no componente RSFiles! (com_rsfiles) para Joomla, versões < 1.17.12 (corrigido na 1.17.12, CVSS 9.8 / 10.0).

O upload do frontend é dividido em duas tarefas:

1. rsfiles.checkupload — verificação prévia (permissão + lista de permissões de extensões)
2. rsfiles.upload — método de escrita (sem verificação de permissão, sem verificação de tipo de arquivo, sem CSRF)

A tarefa de escrita pode ser chamada diretamente, ignorando a verificação prévia, o que permite que um atacante não autenticado envie um arquivo .php executável para uma pasta pública e o execute → RCE não autenticado.

---

⚠️ O que é este projeto

• ✅ Uma reimplementação limpa e legível da cadeia de ataque descrita para pesquisadores e defensores.
• ✅ Inclui um servidor mock local para que você possa validar todo o fluxo com risco zero para qualquer coisa real.
• ✅ Inclui um modo somente detecção que não faz upload algum.

---

Arquivos

Arquivo	Finalidade
cve_2026_57827.py	Exploit + scanner + CLI (ponto de entrada)
rsfiles_detect.py	Módulo de detecção independente (sem exploit) — também possui sua própria CLI
payload.py	Construtor de payload PHP modular e compacto
common.py	Cliente HTTP, configuração e utilitários compartilhados
mock_server.py	Simulação local segura para testes

Todos os módulos devem estar no mesmo diretório (eles importam uns aos outros).

Instalação

python3 -m pip install -r requirements.txt   # or just: pip install requests

Uso

1 · Somente detecção (sem upload, seguro para reconhecimento)

python rsfiles_detect.py -t example.com

Host     : example.com
RSFiles! : YES v1.17.11
Protocol : https
Status   : VULNERABLE  (below 1.17.12)

Vários hosts:

python rsfiles_detect.py -f hosts.txt

2 · Exploit completo (alvo único)

python cve_2026_57827.py -t example.com

Em caso de sucesso, a ferramenta imprime a URL do shell com seu token aleatório e a saída do comando — essa saída é a prova da RCE.

3 · Varredura em massa + relatórios

python cve_2026_57827.py -f targets.txt --threads 30 -o shells.txt --csv report.csv

Flag	Descrição
--threads N	Concorrência (padrão 30)
--proxy URL	Roteia através de um proxy (Burp/ZAP)
--timeout N	Tempo limite por requisição (segundos)
--no-cleanup	Mantém o shell enviado (padrão: exclusão automática após a RCE)
-o FILE	Salva URLs de RCE
--csv FILE	Relatório estruturado completo
--debug / -v	Log detalhado em nível de requisição

Teste local (risco zero)

# Terminal 1 — start the mock (vulnerable)
python mock_server.py 8000 1.17.11

# Terminal 2 — scan it
python rsfiles_detect.py -t 127.0.0.1:8000
python cve_2026_57827.py -t 127.0.0.1:8000

1.17.11 / 1.17.10 = vulnerável · 1.17.12 = corrigida.

Notas de design

• Payload modular (payload.py): cada comportamento (verificação, upload, exec, delete, list) é uma pequena função; os nomes das funções de execução são codificados em base64 para que nomes brutos como system não apareçam nos bytes do arquivo.
• Nomes de arquivo benignos aleatórios (ex.: cache7f31.php) em vez dos clássicos nomes ocultos de shell com ponto.
• Contadores incrementais (O(1)) em vez de reescanear os resultados.
• Análise de URL com fonte única via common.base_of().

Créditos / inspiração

Estilo modelado a partir de coleções públicas de exploits para componentes Joomla (ex.: incredibleindishell/joomla-vulnerabilities) e dos artigos de advisory da RSJoomla/mysites.guru para este CVE.

Licença

MIT — consulte LICENSE. Uso apenas para pesquisa/defesa.