Advisory (из карты исходников)

В advisory указана модель источника администратора. HTTP — это com_jem task=source.save, а не ajax action=. PHP-метод save() — это не URL. PR:H — неаутентифицированный POST — это не данный CVE.

Точка входа

• Метод: POST
• Путь: /administrator/index.php
• Маршрутизатор: com_jem task=source.save (JemControllerSource::save → JemModelSource::save). Требуется сессия администратора (core.edit com_jem) и действительный CSRF-токен. Сначала GET source.edit&id=<base64 от имени файла>, чтобы имя файла в сессии совпадало.
• Примечания: CVE-2026-77991: JemModelSource::save выполняет File::write() для jform[source] в media/com_jem/css/<filename>. В 5.0.0 resolveSourceFile только очищает путь через InputFilter и блокирует .. ; он НЕ требует .css и НЕ отклоняет php. В 5.0.1 добавлен JemCssFilePolicy::isValidFileName (должен заканчиваться на .css, без исполняемых сегментов). Привилегированное RCE: войдите как admin/labadmin1234, отредактируйте id=base64('poc_witness.php'), сохраните PHP только с echo (не шелл). Свидетель — GET /media/com_jem/css/poc_witness.php содержит POC_WITNESS_77991.

Цепочка вызовов

• POST /administrator/index.php login (admin/labadmin)
• GET /administrator/index.php?option=com_jem&task=source.edit&id=<base64 poc_witness.php> (JemControllerSource::edit)
• POST option=com_jem task=source.save jform[filename]+jform[source]+token (controllers/source.php:136)
• JemModelSource::save File::write media/com_jem/css/<file> (models/source.php:359-396)
• GET /media/com_jem/css/poc_witness.php

Предусловия лаборатории

• Joomla 5 + PHP 8.3 с установленным JEM 5.0.0
• Учётная запись администратора admin/labadmin с core.edit на com_jem
• media/com_jem/css доступен для записи

Свидетель

GET /media/com_jem/css/poc_witness.php возвращает POC_WITNESS_77991. Вход с кодом 200 HTML или ошибка токена — это не он.

Не является успехом

• обычная HTML-страница Joomla с кодом 200
• ошибка входа / JINVALID_TOKEN
• COM_JEM_CSSMANAGER_ERROR_SOURCE_FILE_NOT_FOUND
• запись только файла .css (штатный CSS-менеджер)
• reverse shell или исходящее соединение
• неаутентифицированный запрос

Патч / устранение

Сделайте это в первую очередь: обновите JEM - Joomla Event Manager до 5.0.1 или новее.

Проверка после обновления

• Запустите CVE-2026-77991-Abraxas-Labs.py против пропатченной сборки: сопоставленный свидетель не должен появляться.
• Подтвердите vendor advisory / changeset в развёрнутом дереве (см. ссылки).
• Сигнатура WAF — это отсрочка, а не патч.

Если вы не можете обновиться немедленно

• Отключите или изолируйте затронутый компонент.
• Ищите условие свидетеля в продакшене (новые привилегированные пользователи, неожиданные файлы, внедрённые строки — всё, что названо в карте данного CVE).

Воспроизведение (авторизованная лаборатория)

Цель — только http://127.0.0.1:8088 (или loopback, который вы привязали). Не направляйте этот скрипт в интернет.

Успех — это свидетель выше в теле ответа. Обычный HTML с кодом 200 — это не он.

Образы лаборатории

Loopback-стек, использованный для воспроизведения. Официальные образы, если только Dockerfile в этой папке не собирает из исходников.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

Примонтируйте дерево уязвимого продукта рядом с Compose, если YAML монтирует локальный каталог (zip плагина / тег исходников из таблицы версий). Публикуйте только 127.0.0.1.

Ссылки

• CVE-2026-77991 · NVD

• CVE-2026-77991 · CVE.org

• www.joomlaeventmanager.net/

• github.com/advisories/GHSA-gh3c-9wwf-mj2v

• nvd.nist.gov/vuln/detail/CVE-2026-77991

• www.joomlaeventmanager.net

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Записи (структурированные)

Отказ от ответственности

Этот пакет предназначен для вендора, владельца сайта и лицензированных лабораторий. Скрипт обращается к 127.0.0.1. Использование его против систем, которыми вы не владеете, не авторизовано Abraxas Labs. Без гарантий.

abraxaslabs.tech · github.com/abraxas · @abraxas_null