CVE-2026-65891 — Joomla JCE 重命名 PoC

针对 Joomla Content Editor (JCE) 扩展中 CVE-2026-65891 的概念验证扫描器。

JCE 文件管理器 rename 函数中的不当输入验证，允许具有文件管理权限的已认证用户：

• 创建隐藏文件（点前缀名称，例如 .shell.php）
• 静默覆盖目标路径上的现有文件

仅限授权测试。 仅可在您拥有或获得明确测试许可的系统上使用。

漏洞摘要

这不是未认证 RCE。请勿与 CVE-2026-48907（JCE 配置文件导入，未认证）混淆。

根本原因

JCE browser / imgmanager 重命名处理程序接受了本应被拒绝的目标文件名：

• 以 . 开头的名称（在 POSIX 上为隐藏文件）
• 未经确认即替换现有文件的重命名操作

在 2.20.2 中修复：对重命名/复制/移动操作进行扩展名校验，并禁止静默覆盖。

此 PoC 的功能

check（无需凭据）

• 检测 Joomla + JCE 安装
• 从 jce.xml / 资源中读取 JCE 版本
• 标记版本 < 2.20.2

probe / exploit（需要凭据）

1. 通过 /administrator/（或 --frontend-login）登录
2. 获取 Joomla CSRF 令牌
3. 通过 plugin.rpc（browser 插件）上传一个标记 .txt 文件
4. 重命名为 .cve65891_<random>.txt（隐藏）
5. GET /images/.cve65891_*.txt — 若标记可读取 → EXPLOITED

安装

git clone https://github.com/YOUR_USER/CVE-2026-65891.git
cd CVE-2026-65891
pip install -r requirements.txt

要求： Python 3.10+

用法

# Version / fingerprint scan (bulk, no auth)
python poc_cve_2026_65891.py -f targets.txt -m check -j 30 -o version_hits.txt

# Single target — full check
python poc_cve_2026_65891.py -u https://joomla.example -m check -v

# Authenticated rename test
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --user editor --pass 'YourPassword' -v

# Session cookie instead of password
python poc_cve_2026_65891.py -u https://joomla.example -m probe \
  --cookie-file cookie.txt -v

选项

模式

输出示例

EXPLOITED  https://joomla.example  joomla=True  jce=True  ver=2.20.1  auth=YES  upload=YES  rename=YES  hidden=YES  url=https://joomla.example/images/.cve65891_a1b2c3d4.txt
VULNERABLE https://site.example     joomla=True  jce=True  ver=2.9.99.9  rename=YES  err=rename_ok_but_hidden_not_readable
SUSPECT    https://old.example     joomla=True  jce=True  ver=2.20.1  err=need_auth_--user_--pass_or_--cookie-file

只有 VULNERABLE 和 EXPLOITED 行会写入 -o。

probe/exploit 的先决条件

测试账户必须具有包含以下权限的 JCE 编辑器配置文件：

• 文件浏览器 / 图片管理器访问权限
• 上传权限
• 重命名权限

通常为：编辑（Editor）、管理员（Manager）或超级管理员（Administrator）— 而非普通注册用户。

缓解措施

1. 将 JCE 升级至 2.20.2 或更高版本
   通过 Extensions → Manage → Update 或从 joomlacontenteditor.net 下载

2. 在修复之前：为不受信任的用户组（图片管理器、文件浏览器）在 JCE 配置文件设置中禁用 Rename。

检测方法

查找发送至以下地址的已认证请求：

POST /index.php?option=com_jce&task=plugin.rpc&plugin=browser

其中 method=rename / renameItem 且目标名称以 . 开头。

在 JCE 上传路径（/images/、/media/）下出现意外的隐藏文件。

法律免责声明

此工具仅用于安全研究、教育和授权渗透测试。未经授权访问计算机系统属违法行为。作者对滥用行为不承担任何责任。

参考链接

• NVD — CVE-2026-65891
• JCE — joomlacontenteditor.net
• OpenCVE

许可证

MIT — 请参阅 LICENSE。