🔍 Description

SP Page Builder expose la tâche du contrôleur asset.uploadCustomIcon pour gérer le téléchargement d'un package d'icônes de police personnalisé :

Dans les versions vulnérables, cette tâche est accessible sans authentification et sans jeton CSRF valide. Elle accepte une archive ZIP (champ multipart custom_icon) et extrait son contenu dans un répertoire accessible publiquement sous la racine web :

Étant donné que le point de terminaison est accessible avant authentification et que les fichiers extraits atterrissent dans un emplacement navigable, un attaquant peut télécharger des fichiers arbitraires et exécuter du code PHP en les demandant via HTTP.

Technique d'exécution de code

Cet exploit contourne les filtres de noms de fichiers côté serveur courants en utilisant :

1. Contournement de la liste noire sensible à la casse – Le filtre rejette les minuscules .php, .phtml, .phar, etc., mais ne normalise pas la casse, donc .PHP et d'autres variantes mixtes sont acceptés.
2. Structure d'icônes de police valide – L'exploit empaquette un selection.json, style.css et fonts/<name>.ttf valides afin que le téléchargement soit accepté.
3. Placement du shell – Un shell web PHP est écrit dans fonts/shxt.{ext} à l'intérieur de l'archive extraite.

📦 Fonctionnalités

• Multi-thread – Analyse et exploitation (nombre de threads configurable)
• Correction automatique des URL – Ajoute automatiquement le chemin du point de terminaison requis
• Prise en charge de deux extensions – Tente les variantes .php et .PHP
• Vérification du shell – Vérifie que le shell téléchargé est accessible et fonctionnel
• Journalisation des résultats – Enregistre les URL de shell réussies dans result.txt
• Suivi de la progression – Affiche l'état et les statistiques en temps réel

🚀 Utilisation

Prérequis

• Python 2.7
• bibliothèque requests

Installation

Utilisation de base

Avec nombre de threads personnalisé

Format du fichier d'entrée

list.txt doit contenir une URL cible par ligne :

Sortie

· Les URL de shell réussies sont ajoutées à result.txt · Chaque ligne contient l'URL complète du shell PHP téléchargé

⚙️ Fonctionnement

1. Correction d'URL – Ajoute automatiquement index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon s'il n'est pas déjà présent.
2. Construction ZIP – Crée une archive ZIP d'icônes de police valide contenant le shell PHP à fonts/shxt.{ext}.
3. Téléchargement – Envoie le ZIP via une requête POST multipart au point de terminaison vulnérable.
4. Vérification – Vérifie si le shell est accessible et renvoie la sortie attendue (présence de "Upload").
5. Journalisation – Enregistre les URL de shell réussies dans result.txt.

Charge utile du shell

Le shell intégré fournit :

· Informations sur l'environnement du serveur (php_uname()) · Interface de téléchargement de fichiers pour télécharger des fichiers supplémentaires · Retour de succès/échec

🛡️ Atténuation

· Mettez à jour SP Page Builder vers la version 6.6.2 ou ultérieure. · Auditez les répertoires de téléchargement pour les fichiers non autorisés : · /media/com_sppagebuilder/assets/iconfont/ · Supprimez tout fichier PHP inattendu trouvé dans ces répertoires. · Examinez les journaux du serveur pour les requêtes POST suspectes vers asset.uploadCustomIcon. · Déployez un pare-feu d'application Web (WAF) pour bloquer ces requêtes.

⚠️ Avertissement

Cet outil est destiné uniquement à des fins de test de sécurité éducatif et autorisé.

L'accès non autorisé aux systèmes informatiques est illégal. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive ou de dommages causés par cet outil. Utilisez-le uniquement sur des systèmes dont vous êtes propriétaire ou pour lesquels vous avez une autorisation écrite explicite de tester.

Pour plus d'avertissements, consultez l'avertissement sur la couverture de Jenderal92. Vous pouvez le vérifier ICI !!!

📚 Références

· Censys Advisory · NVD Entry · JoomShaper Security Announcement

📄 Licence

Ce projet est uniquement à des fins éducatives et de recherche. Utilisez-le à vos propres risques.