CVE-2026-48908 — Exploit RCE non autenticato per SP Page Builder (Joomla)

Critico (CVSS v4: 10.0) — Proof-of-concept per l'esecuzione remota di codice non autenticata in SP Page Builder (com_sppagebuilder) per Joomla.

📋 Panoramica della vulnerabilità

🔍 Descrizione

SP Page Builder espone il task del controller asset.uploadCustomIcon per gestire il caricamento di un pacchetto di icon‑font personalizzato:

index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon

Nelle versioni vulnerabili, questo task è raggiungibile senza autenticazione e senza un token CSRF valido. Accetta un archivio ZIP (campo multipart custom_icon) e ne estrae il contenuto in una directory pubblicamente accessibile sotto la web root:

/media/com_sppagebuilder/assets/iconfont/<name>/

Poiché l'endpoint è accessibile in fase di pre‑autenticazione e i file estratti finiscono in una posizione navigabile, un attaccante può caricare file arbitrari ed eseguire codice PHP richiedendoli tramite HTTP.

Tecnica di esecuzione del codice

Questo exploit aggira i comuni filtri lato server sui nomi dei file utilizzando:

1. Bypass della blocklist case‑sensitive – Il filtro rifiuta .php, .phtml, .phar, ecc. in minuscolo, ma non normalizza il case, quindi .PHP e altre varianti con maiuscole/minuscole miste vengono accettate.
2. Struttura icon‑font valida – L'exploit include un selection.json, uno style.css e un fonts/<name>.ttf validi, così l'upload viene accettato.
3. Posizionamento della shell – Una web shell PHP viene scritta in fonts/shxt.{ext} all'interno dell'archivio estratto.

📦 Funzionalità

• Multi‑thread per scansione ed exploit (numero di thread configurabile)
• Correzione automatica degli URL – aggiunge automaticamente il percorso dell'endpoint richiesto
• Supporto per doppia estensione – tenta le varianti .php e .PHP
• Verifica della shell – controlla che la shell caricata sia accessibile e funzionante
• Registrazione dei risultati – salva gli URL delle shell riuscite in result.txt
• Monitoraggio dell'avanzamento – mostra stato e statistiche in tempo reale

🚀 Utilizzo

Requisiti

• Python 2.7
• libreria requests

Installazione

git clone https://github.com/Jenderal92/CVE-2026-48908
cd CVE-2026-48908
pip install requests

Utilizzo base

python2 CVE-2026-48908.py list.txt

Con numero di thread personalizzato

python2 CVE-2026-48908.py list.txt 20

Formato del file di input

list.txt deve contenere un URL di destinazione per riga:

https://example.com
http://target-site.com/joomla
https://192.168.1.100/joomla

Output

· Gli URL delle shell riuscite vengono aggiunti a result.txt · Ogni riga contiene l'URL completo della shell PHP caricata

⚙️ Come funziona

1. Correzione URL – Aggiunge automaticamente index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon se non già presente.
2. Costruzione ZIP – Crea un archivio ZIP icon‑font valido contenente la shell PHP in fonts/shxt.{ext}.
3. Upload – Invia lo ZIP tramite POST multipart all'endpoint vulnerabile.
4. Verifica – Controlla se la shell è accessibile e restituisce l'output atteso (presenza di "Upload").
5. Registrazione – Salva gli URL delle shell riuscite in result.txt.

Payload della shell

La shell incorporata fornisce:

· Informazioni sull'ambiente del server (php_uname()) · Interfaccia di upload per caricare file aggiuntivi · Feedback di successo / errore

🛡️ Mitigazione

· Aggiornare SP Page Builder alla versione 6.6.2 o successiva. · Controllare le directory di upload per file non autorizzati: · /media/com_sppagebuilder/assets/iconfont/ · Rimuovere eventuali file PHP inattesi trovati in quelle directory. · Esaminare i log del server per richieste POST sospette verso asset.uploadCustomIcon. · Implementare un Web Application Firewall (WAF) per bloccare tali richieste.

⚠️ Disclaimer

Questo strumento è destinato esclusivamente a scopi educativi e di test di sicurezza autorizzati.

L'accesso non autorizzato a sistemi informatici è illegale. Gli autori non si assumono alcuna responsabilità per usi impropri o danni causati da questo strumento. Utilizzarlo solo su sistemi di tua proprietà o per i quali hai ricevuto esplicito permesso scritto di test.

Per maggiori dettagli, puoi consultare il disclaimer nella copertina di Jenderal92. Puoi controllarlo QUI !!!

📚 Riferimenti

· Avviso Censys · Voce NVD · Annuncio di sicurezza JoomShaper

📄 Licenza

Questo progetto è solo a scopo educativo e di ricerca. Utilizzalo a tuo rischio.