murrez/cve-2026-97163PoC em Python para CVE-2026-97163: identifica versões do plugin Joomla UP e sonda gatilhos de instalação via com_ajax para implantação remota de ações sem autenticação.
PoC em Python 3 para CVE-2026-97163 — UP (Universal Plugin) para Joomla (lomart.fr).
CVE-2026-97163 — UP 5.0.0–5.2.0 e 6.0.0–6.0.29 (especialmente o pacote mini sem ações incluídas) permitem instalação remota de código sem autenticação: uma requisição anônima pode iniciar um download sob demanda do código de ação a partir do repositório GitHub do mantenedor para plugins/content/up/actions/, onde o Joomla o executa. A busca era realizada com verificação de certificado TLS desabilitada, portanto um atacante posicionado na rede (MITM) poderia substituir por um arquivo malicioso (CWE-22, CWE-284). CVSS 4.0 10.0 Crítico (PR:N). Correção: UP 6.1.0 / 5.2.1 (restrições de autenticação + verificação TLS restaurada).
Pesquisa: mySites.guru — correções de segurança do UP 6.1.0
Relacionados (mesma versão): CVE-2026-97160 (shortcode PHP), CVE-2026-97161 (leitura de arquivo), CVE-2026-97162 (SQLi).
Página do PoC: https://pocbit.org/pocs/cve-2026-97163
Catálogo: https://pocbit.org/pocs/
| Produto | Plugin UP (plg_content_up) |
| Afetados | 5.0.0–5.2.0, 6.0.0–6.0.29 |
| Corrigido | 5.2.1, 6.1.0 |
| Vetor | Modo mini: primeiro uso de uma ação → zip do GitHub → descompactação sob o plugin |
| Impacto | Integridade / RCE (com MITM ou caminho de busca comprometido) |
Este PoC identifica o UP, verifica versões vulneráveis e sonda padrões de com_ajax (ou --ajax-url / --render-url do seu laboratório). Ele não realiza MITM nem hospeda arquivos maliciosos.
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --install-probe
python poc.py -u https://joomla.example --mode exploit --install-probe --action slideshow-billboard
python poc.py -u https://joomla.example --mode exploit --render-url "https://joomla.example/index.php?option=com_content&view=article&id=99"
python poc.py -u https://joomla.example --mode exploit --ajax-url "https://joomla.example/index.php?option=com_ajax&group=content&plugin=up&..."
python poc.py --list targets.example.txt --mode check --install-probe -j 8
Pós-correção: inspecione plugins/content/up/actions/ em busca de pastas PHP desconhecidas (orientação do fornecedor).
body="plugins/content/up"
body="plg_content_up" "up.lomart"
PoC do CVE-2026-97163: Joomla UP (lomart.fr) instalação mini via GitHub sem autenticação / implantação remota de ações (≤6.0.29). Detecção de versão + sondagens de instalação via com_ajax. PoCbit
CVE-2026-97163: No pacote UP mini, é possível acionar o download de action do GitHub sem sessão; como a verificação TLS está desativada, um arquivo malicioso pode ser injetado via MITM. Correções 6.1.0 / 5.2.1.
Apenas testes autorizados.