Descripción

SP Page Builder expone la tarea de controlador asset.uploadCustomIcon para gestionar la subida de un paquete de iconos personalizado:

En las versiones afectadas, esta tarea es accesible sin autenticación y sin un token anti-CSRF válido. Acepta un archivo ZIP (campo multipart custom_icon) y extrae su contenido en un directorio servido públicamente por web bajo la raíz del documento:

Dado que la subida es accesible antes de la autenticación y los archivos extraídos se sitúan en la raíz web, un atacante puede escribir archivos controlados por él en una ubicación navegable y acceder a ellos por HTTP.

Cómo lograr la ejecución de código a pesar del filtro de extensiones

Algunas versiones añaden un filtro de nombres de archivo del lado del servidor sobre las entradas del archivo. Este PoC neutraliza una implementación común con una cadena de tres pasos:

1. Lista negra que distingue mayúsculas de minúsculas. El filtro rechaza .php, .phtml, .phar, .php3–.php8, .pht, .inc, … en minúsculas, pero no normaliza las mayúsculas, por lo que .PHP (y otras variantes con mayúsculas combinadas) y .htaccess pasan.
2. Manejador del servidor web sensible a mayúsculas. Un manejador PHP de Apache por defecto (<FilesMatch "\.php$">) solo ejecuta .php en minúsculas, por lo que un .PHP subido inicialmente se sirve como texto fuente y no se ejecuta.
3. Anulación mediante .htaccess. Un .htaccess (que la lista negra tampoco detecta) que contiene AddType application/x-httpd-php .PHP se coloca junto al payload. Cuando AllowOverride lo permite, esto registra .PHP como PHP y el shell subido se ejecuta.

El PoC siempre empaqueta una estructura válida de fuente de iconos (selection.json, style.css, fonts/<name>.ttf) para que la subida sea aceptada, y luego añade el shell.

Adaptativo: recorre una lista de extensiones ejecutables como PHP (primero las de menor huella), luego un .htaccess de respaldo, y se detiene en el primero que realmente ejecuta código:

1. Subidas directas de un solo archivo — fonts/<shell>.<ext> para cada una de php, php3, php4, php5, php7, pht, phtml, phar, PHP, pHp, Php. Sin .htaccess. Los distintos filtros de SP Page Builder bloquean conjuntos diferentes, y las distintas configuraciones de Apache ejecutan extensiones diferentes, por lo que esto encuentra cualquier combinación que el objetivo permita y ejecute.
2. fonts/.htaccess + fonts/<shell>.PHP (respaldo) — solo si falla cada intento directo. El .htaccess colocado (AddType … .PHP) obliga a que un .PHP en mayúsculas se ejecute donde AllowOverride lo permita (esto es lo que necesitan los hosts estilo 5.4.6).

Se detiene en el primer método que ejecuta e indica cuál funcionó. Todas las subidas aceptadas quedan registradas, por lo que --cleanup elimina todas (varios intentos pueden dejar directorios de solo escritura).

Dependiendo de la versión y del endurecimiento del servidor, el resultado varía, y el PoC lo indica explícitamente (consulte Resultados más abajo): RCE completo, solo escritura de archivos (PHP deshabilitado / AllowOverride None), parcheado (solo administradores) o no vulnerable.

Requisitos

Uso

El objetivo puede indicarse como argumento posicional o mediante --url, con o sin esquema.

Ejemplo (anonimizado)

Resultados (y códigos de salida)

El PoC siempre indica el veredicto para el objetivo:

Características de seguridad

• El web shell colocado está protegido por un token aleatorio por ejecución y devuelve 404 a cualquiera que no lo tenga: no es una puerta trasera abierta al mundo.
• --cleanup elimina el directorio de payload que creó.
• Las acciones por defecto son benignas (id, un marcador aritmético).

Mitigación

1. Actualice SP Page Builder a 6.6.2 o superior (añade comprobaciones de autenticación, autorización y CSRF a la tarea de subida). Esta es la corrección principal.
2. Defensa en profundidad en el servidor web:
   • Deshabilite la ejecución de PHP en los directorios de subida (/media/, /images/, /tmp) mediante el pool de FPM o php_admin_flag engine off.
   • Establezca AllowOverride None en esos directorios para que un .htaccess colocado no pueda volver a habilitar manejadores.
   • Utilice una lista blanca que no distinga mayúsculas de minúsculas para las extensiones de subida, nunca una lista negra.
3. Revisión asumiendo la brecha: busque .php/.PHP inesperados en media/.../iconfont/, nuevas cuentas de Super Usuario y administradores de archivos plantados.

Referencias

• NVD — CVE-2026-48908
• Registro de CVE.org — CVE-2026-48908
• Análisis técnico — SP Page Builder uploadCustomIcon RCE (mySites.guru)
• Proveedor — JoomShaper SP Page Builder (corrección de seguridad en 6.6.2)
• SP Page Builder — Directorio de extensiones de Joomla

Palabras clave

Exploit de SP Page Builder para Joomla · RCE no autenticado en com_sppagebuilder · PoC de CVE-2026-48908 · subida arbitraria de archivos en asset.uploadCustomIcon · ejecución remota de código en Joomla · script de exploit para pentest.

DESCARGO DE RESPONSABILIDAD

Este software se publica únicamente con fines educativos y para pruebas de seguridad autorizadas; por ejemplo, pruebas de penetración para las que tenga permiso por escrito, programas de bug bounty que incluyan el objetivo dentro del alcance, competiciones CTF y sus propios sistemas de laboratorio.

Acceder, modificar o interrumpir sistemas informáticos sin autorización es ilegal en la mayoría de las jurisdicciones. Usted es única y totalmente responsable de sus propias acciones. Al usar, descargar o distribuir este código acepta que:

• lo utilizará solo contra sistemas que le pertenecen o para los que tiene permiso explícito y documentado para probar;
• el/los autor(es) y colaboradores no asumen ninguna responsabilidad por daños, pérdida de datos, interrupción del servicio o consecuencias legales derivadas del uso o mal uso de este código;
• este material se proporciona "TAL CUAL", sin garantía de ningún tipo, expresa o implícita.

Si no está de acuerdo con estos términos, no use este software. Como ocurre con cualquier exploit/PoC disponible públicamente, se comparte de buena fe para ayudar a los defensores a detectar, comprender y remediar la vulnerabilidad; lo que usted haga con él es su responsabilidad.

Licencia

MIT — consulte LICENSE.