CVE-2026-94130 — YouTube Gallery para Joomla (Injeção SQL)

PoC em Python 3 para CVE-2026-94130 — YouTube Gallery (com_youtubegallery, joomlaboat.com).

Descrição (PoCbit / GitHub)

CVE-2026-94130 — YouTube Gallery para Joomla ≤ 5.7.2 permite injeção SQL não autenticada (CWE-89, CVSS 4.0 9.3 Crítico) no tratamento de requisições de busca de vídeos e ordenação. Atacantes podem injetar SQL em consultas de leitura sem login. Corrigido em 5.7.3 (setembro de 2026).

Página do PoC: https://pocbit.org/pocs/cve-2026-94130

PoCbit

Catálogo: https://pocbit.org/pocs/

Produto	Extensão YouTube Gallery para Joomla
Componente	com_youtubegallery
Afetado	1.0.0 – 5.7.2
Corrigido	5.7.3
Vetor	Galeria pública / API JSON yg_api=1; parâmetros incluem ygsearchfields, ygsearchquery, parâmetros GET relacionados à ordenação
Atribuidor	Joomla CNA

Uso

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --sqli-probe --listid 1 --themeid 1
python poc.py -u https://joomla.example --mode check --scan-ids --sqli-probe --delay 5
python poc.py --list targets.example.txt --mode check -j 10 --sqli-probe

Exemplo de superfície da API (requer listid + themeid válidos):

/index.php?option=com_youtubegallery&view=youtubegallery&listid=1&themeid=1&yg_api=1
&ygsearchfields=es_title&ygsearchquery=...

FOFA / Google

body="com_youtubegallery"
inurl:"option=com_youtubegallery"

GitHub About (EN)

Injeção SQL não autenticada no Joomla YouTube Gallery (joomlaboat.com) ≤ 5.7.2 via busca/ordenação de vídeos no endpoint público yg_api. PoC de verificação/exploração em Python — PoCbit.

Özet (TR)

CVE-2026-94130: Injeção SQL sem sessão no plugin YouTube Gallery do Joomla (≤ 5.7.2); interferência em consultas de leitura do banco de dados por meio de requisições de pesquisa e ordenação. Corrigido na versão 5.7.3. CVSS 4.0 9.3 Crítico.

Legal

Apenas testes autorizados. --sqli-probe / --mode exploit enviam payloads SQL intencionais (incluindo SLEEP).