Page Builder CK — fonts.save RCE Probe CVE-2026-56290

BlackHat Team scanner de preuve de concept pour la vulnérabilité fonts.save du composant Joomla Page Builder CK. POC CVE-2026-56290

Auteur : @mrzblackhat
Équipe : BlackHat Team
Crédits : Peyman Siyahi · MR.PERSIA

Présentation

Cet outil sonde les sites Joomla exécutant le composant vulnérable com_pagebuilderck. Il abuse de la tâche fonts.save pour récupérer une charge utile distante et écrit un web shell à l'emplacement :

media/com_pagebuilderck/gfonts/fbi.php

L'exécution de code à distance (RCE) est confirmée lorsque le shell téléversé répond avec un <title> HTML contenant Fbi Shell.

Prend en charge les analyses cible unique et de masse avec des workers multithreadés et un enregistrement instantané des hits.

Prérequis

• Python 3.10+
• requests
• urllib3

pip install requests urllib3

Utilisation

Cible unique

python3 poc.py --url https://example.com --insecure

Analyse de masse

python3 poc.py --mass targets.txt --insecure --threads 20 --timeout 12

targets.txt — une URL par ligne. Les lignes après # sont ignorées.

Options

Sortie

• HIT — shell téléversé et PHP exécuté ; le titre contient Fbi Shell
• PART — fichier écrit mais PHP non exécuté
• MISS — exploit non confirmé

Les URL de shells confirmés sont ajoutées au fichier de sortie immédiatement.

Fichiers du projet

Reconstruire après modification de la source

python3 _build_obf.py

Fonctionnement

1. Récupérer la page d'accueil et extraire le jeton CSRF de Joomla
2. POST vers index.php avec option=com_pagebuilderck&task=fonts.save
3. Le rappel distant font.css déclenche l'écriture du shell dans gfonts/fbi.php
4. GET le chemin du shell et vérifier que le <title> contient Fbi Shell

Avertissement

Cet outil est fourni pour les recherches en sécurité autorisées et les tests d'intrusion uniquement.

L'accès non autorisé aux systèmes informatiques est illégal. Les auteurs et BlackHat Team ne sont pas responsables d'un usage inapproprié. Testez uniquement les systèmes qui vous appartiennent ou pour lesquels vous disposez d'une autorisation écrite explicite.

Contact

• Telegram : https://t.me/mrzblackhat
• Identifiant : @mrzblackhat

BlackHat Team — Peyman Siyahi · MR.PERSIA

Recherche et outillage originaux par @mrzblackhat. Ne redistribuez pas de copies modifiées sans attribution.