CVE-2026-48908
Extension Joomla - joomshaper.com - Exécution de code à distance dans l'extension SP Pagebuilder pour Joomla < 6.6.2
- Publié
- 20 juin 2026
- Mise à jour
- 8 oct. 2026
- Attribution de CNA
- Joomla
- Preuve observée
- 7 juil. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:X/U:RedÉlevé · 30 prochains jours
- Percentile
- 99,8 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
CISA Connu Exploité
Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.
Résumé
Une vulnérabilité dans SP Page Builder pour Joomla permet à des utilisateurs non authentifiés de téléverser des fichiers arbitraires, ce qui aboutit finalement au téléversement et à l'exécution de code PHP.
Sources
javascript/cves/2026/CVE-2026-48908.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- CVE-2026-48908Exploit
PoC RCE non authentifié pour CVE-2026-48908 SP Page Builder (Joomla) exploit de téléchargement de fichier arbitraire et d'exécution de code à distance avec prise en charge de l'analyse de masse.
- CVE-2026-48908Exploit
Preuve de concept d'exploitation pour CVE-2026-48908, une RCE non authentifiée dans Joomla SP Page Builder via un téléversement de fichier arbitraire, avec livraison adaptative de la charge utile et nettoyage.
Valide CVE-2026-48908 dans Joomla SP Page Builder avec un téléchargement d'icône non autorisé conduisant à l'exécution de code PHP. Inclut des preuves auditd/PCAP, une chronologie des événements et des recommandations de détection SOC pour la recherche défensive.
CVE-2026-48908 - SP Page Builder Joomla RCE non authentifié
Analyse technique et avis de sécurité pour CVE-2026-48908 : Téléversement arbitraire de fichiers non authentifié conduisant à une exécution de code à distance (RCE) dans JoomShaper SP Page Builder.
- CVE-2026-48908Exploit
CVE-2026-48908 — Exploit PoC pour RCE non authentifié dans SP Page Builder (Joomla) via téléchargement de fichier arbitraire. Multi-thread, contournement de casse, vérification de shell. Pour tests de sécurité autorisés uniquement.
- CVE-2026-48908-PoCExploit
Preuve de concept (PoC) d'exécution de code à distance non authentifiée pour CVE-2026-48908 — SP Page Builder pour Joomla (≤ 6.6.1) : téléchargement arbitraire de fichiers via asset.uploadCustomIcon. Auto-nettoyant, protégé par jeton. Tests autorisés uniquement.
Vérificateur de sécurité passif pour CVE-2026-48908 affectant SP Page Builder.
CVE-2026-48908
- CVE-2026-48908Exploit
Suite d'exploits Python pour CVE-2026-48908, une RCE par téléversement de ZIP non authentifié dans Joomla SP Page Builder (<=6.6.1), avec fingerprinting, mode batch et une payload de panneau RCE.
- joomla_exploitsExploit
Collection organisée d'artefacts d'exploitation Joomla validés avec environnements de laboratoire Docker. Comprend des scripts RCE, SQLi, XSS et d'escalade de privilèges organisés par utilité offensive pratique pour les tests d'intrusion et la recherche.
Exploit de preuve de concept pour CVE-2026-48908, démontrant la vulnérabilité et fournissant une base pour les tests de sécurité et la validation des correctifs.
- CVE-2026-87930Exploit
Suite RCE multi-CVE pour Joomla avec sept modules d'exploitation pour Balbooa Forms, Page Builder CK, SP Page Builder, JCE, iCagenda, Helix3 et SP LMS, plus le déploiement de la charge utile x7-panel.php.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.