📋 漏洞概述

iCagenda Joomla扩展存在未经限制的文件上传漏洞，允许攻击者上传PHP文件实现远程代码执行。

📋 基础信息

🔬 漏洞根因

iCagenda扩展的文件附件功能在处理上传时，未对文件类型、MIME类型或文件扩展名进行严格校验，导致攻击者可以上传任意后缀的文件（如.php、.phtml）。同时，上传目录未禁用PHP执行权限，因此上传后的PHP文件可直接被Web服务器解析执行。该缺陷源于文件上传白名单/黑名单校验缺失以及上传目录权限配置不当。

🎯 攻击场景

1. 攻击者访问iCagenda的公开文件附件上传接口（通常位于前端表单中，如活动注册、事件提交等）。 2. 构造一个包含恶意PHP代码（如webshell或命令执行payload）的.php文件。 3. 使用浏览器或工具（如curl、Burp Suite）直接发送POST请求，将恶意文件上传至服务器。 4. 服务器未校验文件类型或扩展名，将文件保存在上传目录中。 5. 攻击者通过浏览器访问上传的PHP文件路径（如/uploads/evil.php），触发PHP代码执行，获取服务器控制权。

💥 漏洞影响

成功利用此漏洞可导致远程代码执行（RCE），攻击者能够完全控制运行Joomla的Web服务器，包括窃取数据库信息、修改网站内容、植入后门、横向移动至内网其他主机等。该漏洞无需身份认证（前文提及pre-auth），影响所有使用受影响版本iCagenda的Joomla站点。

🛡️ 修复建议

升级至iCagenda 4.0.8或更高版本；临时缓解措施包括：在Web服务器层面（如Apache .htaccess或Nginx配置）限制上传目录的PHP执行权限，禁用文件上传功能或添加严格的扩展名白名单（如仅允许jpg,png,gif），并部署WAF规则拦截包含PHP代码的恶意文件上传。

📎 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2026-48939
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-48939
• 原始来源（CISA-KEV）

🚨 威胁评估

⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-07-13 08:13 | 来源: CISA-KEV