CVE-2026-97163 — UP 插件 GitHub 远程代码安装（Joomla）

针对 CVE-2026-97163 的 Python 3 PoC — Joomla 的 UP（Universal Plugin）（lomart.fr）。

描述（PoCbit / GitHub）

CVE-2026-97163 — UP 5.0.0–5.2.0 和 6.0.0–6.0.29（尤其是未捆绑 actions 的 mini 包）允许未认证远程代码安装：匿名请求可触发从维护者的 GitHub 仓库按需下载 action 代码到 plugins/content/up/actions/，Joomla 会在该目录执行它。该获取过程在禁用 TLS 证书验证的情况下运行，因此**处于网络位置的攻击者（MITM）**可以替换为恶意归档（CWE-22、CWE-284）。CVSS 4.0 10.0 严重（PR:N）。修复： UP 6.1.0 / 5.2.1（认证限制 + 恢复 TLS 验证）。

研究：mySites.guru — UP 6.1.0 安全修复

相关（同一版本）：CVE-2026-97160（PHP 短代码）、CVE-2026-97161（文件读取）、CVE-2026-97162（SQLi）。

PoC 页面： https://pocbit.org/pocs/cve-2026-97163

PoCbit

目录：https://pocbit.org/pocs/

产品	UP 插件（plg_content_up）
受影响	5.0.0–5.2.0、6.0.0–6.0.29
已修复	5.2.1、6.1.0
向量	Mini 模式：首次使用某个 action → GitHub zip → 解压到插件目录下
影响	完整性 / RCE（配合 MITM 或被入侵的获取路径）

此 PoC 会指纹识别 UP、检查易受攻击版本，并探测 com_ajax 模式（或使用你实验环境中的 --ajax-url / --render-url）。它不执行 MITM，也不托管恶意归档。

用法

pip install -r requirements.txt

python poc.py -u https://joomla.example --mode check
python poc.py -u https://joomla.example --mode check --install-probe
python poc.py -u https://joomla.example --mode exploit --install-probe --action slideshow-billboard
python poc.py -u https://joomla.example --mode exploit --render-url "https://joomla.example/index.php?option=com_content&view=article&id=99"
python poc.py -u https://joomla.example --mode exploit --ajax-url "https://joomla.example/index.php?option=com_ajax&group=content&plugin=up&..."
python poc.py --list targets.example.txt --mode check --install-probe -j 8

修补后： 检查 plugins/content/up/actions/ 中是否有未知的 PHP 文件夹（厂商指南）。

FOFA / Google

body="plugins/content/up"
body="plg_content_up" "up.lomart"

GitHub About（英文）

CVE-2026-97163 PoC：Joomla UP（lomart.fr） 未认证 GitHub mini-install / 远程 action 部署（≤6.0.29）。版本检测 + com_ajax 安装探测。PoCbit

摘要（土耳其语）

CVE-2026-97163： 在 UP mini 包中可触发从 GitHub 无会话下载 action；由于 TLS 验证已关闭，可通过 MITM 注入恶意归档。6.1.0 / 5.2.1 补丁。

法律

仅限授权测试。