CVE-2026-65891 — PoC переименования Joomla JCE

Сканер доказательства концепции для CVE-2026-65891 в расширении Joomla Content Editor (JCE).

Некорректная проверка входных данных в функции переименования файлового менеджера JCE позволяет аутентифицированному пользователю с правами управления файлами:

• создавать скрытые файлы (имена с префиксом-точкой, например .shell.php)
• незаметно перезаписывать существующие файлы по целевому пути

Только авторизованное тестирование. Используйте только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Сводка по уязвимости

Это не неаутентифицированное RCE. Не путайте с CVE-2026-48907 (импорт профиля JCE, без аутентификации).

Причина уязвимости

Обработчики переименования browser / imgmanager в JCE принимали имена целевых файлов, которые должны были отклоняться:

• имена, начинающиеся с . (скрытые в POSIX)
• переименования, заменяющие существующий файл без подтверждения

Исправлено в 2.20.2: проверка расширения при переименовании/копировании/перемещении и отсутствие незаметной перезаписи.

Что делает этот PoC

check (без учётных данных)

• Определяет установку Joomla + JCE
• Читает версию JCE из jce.xml / ресурсов
• Помечает версии < 2.20.2

probe / exploit (требуются учётные данные)

1. Вход через /administrator/ (или --frontend-login)
2. Получение CSRF-токена Joomla
3. Загрузка маркерного .txt через plugin.rpc (плагин browser)
4. Переименование в .cve65891_<random>.txt (скрытый файл)
5. GET /images/.cve65891_*.txt — если маркер доступен для чтения → EXPLOITED

Установка

git clone https://github.com/YOUR_USER/CVE-2026-65891.git
cd CVE-2026-65891
pip install -r requirements.txt

Требования: Python 3.10+

Использование

# Version / fingerprint scan (bulk, no auth)
python poc_cve_2026_65891.py -f targets.txt -m check -j 30 -o version_hits.txt

# Single target — full check
python poc_cve_2026_65891.py -u https://joomla.example -m check -v

# Authenticated rename test
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --user editor --pass 'YourPassword' -v

# Session cookie instead of password
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --cookie-file cookie.txt -v

Параметры

Режимы

Пример вывода

EXPLOITED  https://joomla.example  joomla=True  jce=True  ver=2.20.1  auth=YES  upload=YES  rename=YES  hidden=YES  url=https://joomla.example/images/.cve65891_a1b2c3d4.txt
VULNERABLE https://site.example     joomla=True  jce=True  ver=2.9.99.9  rename=YES  err=rename_ok_but_hidden_not_readable
SUSPECT    https://old.example     joomla=True  jce=True  ver=2.20.1  err=need_auth_--user_--pass_or_--cookie-file

В -o записываются только строки VULNERABLE и EXPLOITED.

Предварительные требования для probe/exploit

Тестовая учётная запись должна иметь профиль редактора JCE со следующими правами:

• доступ к File browser / Image manager
• разрешение Upload (загрузка)
• разрешение Rename (переименование)

Как правило: Editor, Manager или Administrator — не обычный зарегистрированный пользователь.

Меры по устранению

1. Обновите JCE до 2.20.2 или новее
   Extensions → Manage → Update или загрузите с joomlacontenteditor.net

2. Пока не установлен патч: отключите Rename в настройках профиля JCE для недоверенных групп пользователей (Image Manager, File Browser).

Обнаружение

Ищите аутентифицированные запросы к:

POST /index.php?option=com_jce&task=plugin.rpc&plugin=browser

С method=rename / renameItem и именами назначения, начинающимися с ..

Неожиданные скрытые файлы в путях загрузки JCE (/images/, /media/).

Отказ от ответственности

Этот инструмент предназначен только для исследований в области безопасности, обучения и авторизованного тестирования на проникновение. Несанкционированный доступ к компьютерным системам является незаконным. Автор не несёт ответственности за неправомерное использование.

Ссылки

• NVD — CVE-2026-65891
• JCE — joomlacontenteditor.net
• OpenCVE

Лицензия

MIT — см. LICENSE.