CVE-2026-48907 Учебный PoC

⚠️ Этот репозиторий предназначен только для образовательных целей и целей защиты информации. Тестируйте только системы, которыми вы владеете или на проверку которых у вас есть явное разрешение. Не используйте этот проект против сторонних систем.

Этот PoC демонстрирует CVE-2026-48907, уязвимость удалённого выполнения кода (RCE) без аутентификации, затрагивающую Joomla Content Editor (JCE) версий до 2.9.99.4 включительно.

Он эксплуатирует отсутствие аутентификации и валидации в функциональности импорта профилей JCE,

Он отличается от оригинального PoC от BIBIL_0DAY, поскольку опирается на тот факт, что импорт профилей JCE сохраняет загруженный файл профиля в tmp/ без аутентификации, а также без проверки формата файла и его содержимого. Поскольку конфигурация Joomla по умолчанию разрешает выполнение PHP из папки tmp/, это приводит к простому пути эксплуатации RCE.

Ограничение выполнения PHP или даже публичного доступа к папке tmp/ легко смягчает этот вектор. Пользователям Joomla рекомендуется укрепить конфигурацию своего веб-сервера и обновить JCE до >=2.9.99.5.

Лабораторные стенды

• vulnerable/ – docker-compose, разворачивающий экземпляр Joomla с использованием официального Docker-образа joomla:latest и устанавливающий JCE 2.9.99.4 (уязвимая версия). Прослушивает 127.0.0.1:9999
• patched/ – docker-compose, разворачивающий экземпляр Joomla с использованием официального Docker-образа joomla:latest и устанавливающий JCE 2.9.99.5 (исправленная версия). Прослушивает 127.0.0.1:9999

Запуск

docker compose -f vulnerable/docker-compose.yaml up
python3 poc.py

даёт следующий результат:

{"success":true,"message":"","messages":{"info":["0 Profile(s) imported successfully"]},"data":{"redirect":"\/index.php\/component\/jce?view=profiles"}}

>> 3105

[!!!!!] PHP payload was executed ! Server is vulnerable to  cve-2026-48907 !

Отказ от ответственности

Этот проект предназначен для того, чтобы помочь исследователям, специалистам по защите и администраторам понять уязвимость и проверить меры по её устранению в контролируемой среде. Авторы не несут ответственности за любое неправомерное использование этого материала.