Page Builder CK — مسبار RCE لثغرة fonts.save CVE-2026-56290

فريق BlackHat Team ماسح إثبات المفهوم لثغرة Page Builder CK في Joomla المتعلقة بمهمة fonts.save. POC CVE-2026-56290

المؤلف: @mrzblackhat
الفريق: BlackHat Team
الإسناد: Peyman Siyahi · MR.PERSIA

نظرة عامة

تفحص هذه الأداة مواقع Joomla التي تشغّل المكوّن المعرّض للخطر com_pagebuilderck. تستغل مهمة fonts.save لجلب حمولة خارجية وتكتب غلاف ويب تحت المسار:

media/com_pagebuilderck/gfonts/fbi.php

يتم تأكيد تنفيذ الأوامر عن بُعد (RCE) عندما يستجيب الغلاف المرفوع بمستند HTML يحتوي عنصر <title> يتضمّن Fbi Shell.

يدعم الفحص لهدف واحد والفحص الجماعي مع خيوط عاملة وحفظ الإصابات فورًا.

المتطلبات

• Python 3.10+
• requests
• urllib3

pip install requests urllib3

الاستخدام

هدف واحد

python3 poc.py --url https://example.com --insecure

فحص جماعي

python3 poc.py --mass targets.txt --insecure --threads 20 --timeout 12

targets.txt — رابط واحد في كل سطر. الأسطر بعد # يتم تجاهلها.

الخيارات

المخرجات

• HIT — تم رفع الغلاف وتنفيذ PHP؛ العنوان يحتوي Fbi Shell
• PART — تمت كتابة الملف لكن لم يتم تنفيذ PHP
• MISS — لم يتم تأكيد الاستغلال

تُضاف روابط الغلاف المؤكدة إلى ملف المخرجات فورًا.

ملفات المشروع

إعادة البناء بعد تعديل المصدر

python3 _build_obf.py

كيف تعمل

1. جلب الصفحة الرئيسية واستخراج رمز CSRF الخاص بـ Joomla
2. إرسال طلب POST إلى index.php مع option=com_pagebuilderck&task=fonts.save
3. استدعاء font.css البعيد يطلق كتابة الغلاف إلى gfonts/fbi.php
4. إرسال طلب GET إلى مسار الغلاف والتحقق من أن <title> يحتوي Fbi Shell

إخلاء مسؤولية

هذه الأداة مُقدَّمة لأغراض البحث الأمني واختبار الاختراق المصرّح به فقط.

الوصول غير المصرّح به إلى أنظمة الحاسوب غير قانوني. المؤلفون وفريق BlackHat Team غير مسؤولين عن سوء الاستخدام. اختبر فقط الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها.

تواصل

• تيليجرام: https://t.me/mrzblackhat
• المعرّف: @mrzblackhat

فريق BlackHat Team — Peyman Siyahi · MR.PERSIA

البحث والأدوات الأصلية من إعداد @mrzblackhat. لا تعِد توزيع نسخ معدّلة دون الإشارة إلى المصدر.