murrez/cve-2026-94130Python PoC, который проверяет и эксплуатирует неаутентифицированную SQL-инъекцию в Joomla YouTube Gallery (com_youtubegallery) ≤ 5.7.2 через публичные параметры поиска и сортировки yg_api.
PoC на Python 3 для CVE-2026-94130 — YouTube Gallery (com_youtubegallery, joomlaboat.com).
CVE-2026-94130 — YouTube Gallery для Joomla ≤ 5.7.2 допускает SQL-инъекцию без аутентификации (CWE-89, CVSS 4.0 9.3 Critical) при обработке запросов поиска видео и сортировки. Злоумышленники могут внедрять SQL в запросы на чтение без входа в систему. Исправлено в 5.7.3 (сентябрь 2026).
Страница PoC: https://pocbit.org/pocs/cve-2026-94130
Каталог: https://pocbit.org/pocs/
| Продукт | Расширение YouTube Gallery для Joomla |
| Компонент | com_youtubegallery |
| Затронуто | 1.0.0 – 5.7.2 |
| Исправлено | 5.7.3 |
| Вектор | Публичная галерея / JSON API yg_api=1; параметры включают ygsearchfields, ygsearchquery, GET-параметры, связанные с сортировкой |
| Назначивший | Joomla CNA |
pip install -r requirements.txt
python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --sqli-probe --listid 1 --themeid 1
python poc.py -u https://joomla.example --mode check --scan-ids --sqli-probe --delay 5
python poc.py --list targets.example.txt --mode check -j 10 --sqli-probe
Пример поверхности API (требуются действительные listid + themeid):
/index.php?option=com_youtubegallery&view=youtubegallery&listid=1&themeid=1&yg_api=1
&ygsearchfields=es_title&ygsearchquery=...
body="com_youtubegallery"
inurl:"option=com_youtubegallery"
SQL-инъекция без аутентификации в Joomla YouTube Gallery (joomlaboat.com) ≤ 5.7.2 через поиск/сортировку видео на публичной конечной точке yg_api. PoC для проверки/эксплуатации на Python — PoCbit.
CVE-2026-94130: SQL-инъекция без аутентификации в плагине YouTube Gallery для Joomla (≤ 5.7.2); вмешательство в запросы чтения базы данных через запросы поиска и сортировки. Исправлено в 5.7.3. CVSS 4.0 9.3 Critical.
Только авторизованное тестирование. --sqli-probe / --mode exploit отправляют намеренные SQL-полезные нагрузки (включая SLEEP).