CVE-2026-97160 — Внедрение PHP-кода в плагине UP (Joomla)

PoC на Python 3 для CVE-2026-97160 — UP (Universal Plugin) для Joomla (lomart.fr / up.lomart.fr).

Описание (PoCbit / GitHub)

CVE-2026-97160 — плагин UP 5.0.0–5.2.0 и 6.0.0–6.0.29 допускают внедрение PHP-кода через шорткоды {up php=...}, обрабатываемые с помощью eval() (CWE-94). CNA классифицирует это как аутентифицированную / с высокими привилегиями уязвимость; до 6.1.0 / 5.2.1 авторы статей могли обходить проверки зарезервированных действий через нормализацию имён при сохранении и рендеринге, поэтому PHP в статье выполнялся для каждого посетителя. CVSS 4.0 9.4 Critical. Исправление: UP 6.1.0 (Joomla 5.2+) или 5.2.1 (Joomla 3.10–5.1).

Связанные (тот же выпуск): CVE-2026-97161 (чтение файлов / обход каталогов), CVE-2026-97162 (SQLi), CVE-2026-97163 (мини-установка через GitHub).

Страница PoC: https://pocbit.org/pocs/cve-2026-97160

PoCbit

Каталог: https://pocbit.org/pocs/

Продукт	Плагин UP для Joomla (plg_content_up)
Путь	plugins/content/up/
Уязвимые версии	5.0.0–5.2.0, 6.0.0–6.0.29
Исправлено в	5.2.1, 6.1.0
Вектор	Шорткод статьи/модуля {up php=...}
Назначивший	Joomla CNA

Использование

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --article-url "https://joomla.example/index.php?option=com_content&view=article&id=42"
python poc.py -u https://joomla.example --mode exploit --article-url "https://joomla.example/your-article"
python poc.py --list targets.example.txt --mode check -j 10

Лаборатория: Как администратор (или автор на уязвимых сборках) добавьте в тело статьи:

{up php=echo 'POCBIT-97160-OK';}

Опубликуйте, затем запустите --mode exploit --article-url <публичный URL>.

FOFA / Google

body="plugins/content/up"
body="{up php"
inurl:"option=com_content" "lomart"

GitHub About (EN)

PoC для CVE-2026-97160: Joomla UP (lomart.fr) ≤6.0.29 / ≤5.2.0 — привилегированное внедрение кода через eval в шорткоде {up php=} (обход для авторов на старых сборках). PoCbit

Özet (TR)

CVE-2026-97160: Выполнение PHP на сервере через {up php=...} в плагине UP для Joomla; исправлено в 6.1.0 / 5.2.1.

Правовая информация

Только авторизованное тестирование. Не публикуйте вредоносные шорткоды на сайтах, которыми вы не владеете.