CVE-2026-48908 — Эксплойт неаутентифицированного RCE в SP Page Builder (Joomla)

Критический (CVSS v4: 10.0) — Эксплойт для проверки концепции неаутентифицированного удаленного выполнения кода в SP Page Builder (com_sppagebuilder) для Joomla.

📋 Обзор уязвимости

🔍 Описание

SP Page Builder предоставляет задачу контроллера asset.uploadCustomIcon для обработки загрузки пакета пользовательских иконок-шрифтов:

index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon

В уязвимых версиях эта задача доступна без аутентификации и без действительного CSRF-токена. Она принимает ZIP-архив (multipart поле custom_icon) и извлекает его содержимое в общедоступную директорию корня веб-сервера:

/media/com_sppagebuilder/assets/iconfont/<name>/

Поскольку конечная точка доступна до аутентификации, а извлеченные файлы попадают в просматриваемое место, злоумышленник может загружать произвольные файлы и выполнять PHP-код, запрашивая их по HTTP.

Техника выполнения кода

Этот эксплойт обходит распространенные серверные фильтры имен файлов, используя:

1. Обход блэклиста с учетом регистра – Фильтр отклоняет строчные .php, .phtml, .phar и т. д., но не нормализует регистр, поэтому .PHP и другие варианты смешанного регистра принимаются.
2. Допустимая структура иконок-шрифтов – Эксплойт упаковывает валидные selection.json, style.css и fonts/<name>.ttf, чтобы загрузка была принята.
3. Размещение шелла – PHP веб-шелл записывается в fonts/shxt.{ext} внутри извлеченного архива.

📦 Возможности

• Многопоточное сканирование и эксплуатация (настраиваемое количество потоков)
• Автоматическая корректировка URL – автоматически добавляет необходимый путь конечной точки
• Поддержка двойного расширения – пытается использовать варианты .php и .PHP
• Проверка шелла – проверяет, что загруженный шелл доступен и функционален
• Логирование результатов – сохраняет URL успешных шеллов в result.txt
• Отслеживание прогресса – отображает статус и статистику в реальном времени

🚀 Использование

Требования

• Python 2.7
• Библиотека requests

Установка

git clone https://github.com/Jenderal92/CVE-2026-48908
cd CVE-2026-48908
pip install requests

Базовое использование

python2 CVE-2026-48908.py list.txt

С пользовательским количеством потоков

python2 CVE-2026-48908.py list.txt 20

Формат входного файла

Файл list.txt должен содержать по одному целевому URL на строку:

https://example.com
http://target-site.com/joomla
https://192.168.1.100/joomla

Вывод

· URL успешных шеллов добавляются в result.txt · Каждая строка содержит полный URL загруженного PHP-шелла

⚙️ Как это работает

1. Корректировка URL – Автоматически добавляет index.php?option=com_sppagebuilder&task=asset.uploadCustomIcon, если он еще не присутствует.
2. Создание ZIP – Создает валидный ZIP-архив иконок-шрифтов, содержащий PHP-шелл по пути fonts/shxt.{ext}.
3. Загрузка – Отправляет ZIP через multipart POST на уязвимую конечную точку.
4. Проверка – Проверяет, доступен ли шелл и возвращает ли ожидаемый вывод (наличие "Upload").
5. Логирование – Сохраняет URL успешных шеллов в result.txt.

Полезная нагрузка шелла

Встроенный шелл предоставляет:

· Информацию о серверном окружении (php_uname()) · Интерфейс загрузки файлов для загрузки дополнительных файлов · Обратную связь об успехе/неудаче

🛡️ Меры защиты

· Обновите SP Page Builder до версии 6.6.2 или новее. · Проверьте каталоги загрузки на наличие несанкционированных файлов: · /media/com_sppagebuilder/assets/iconfont/ · Удалите любые неожиданные PHP-файлы, найденные в этих каталогах. · Просмотрите журналы сервера на предмет подозрительных POST-запросов к asset.uploadCustomIcon. · Разверните межсетевой экран веб-приложений (WAF) для блокировки таких запросов.

⚠️ Отказ от ответственности

Этот инструмент предназначен только для образовательных целей и авторизованного тестирования безопасности.

Неавторизованный доступ к компьютерным системам незаконен. Авторы не несут ответственности за любое неправильное использование или ущерб, причиненный этим инструментом. Используйте его только на системах, которыми вы владеете или на тестирование которых имеете явное письменное разрешение.

Дополнительный отказ от ответственности Вы можете увидеть отказ от ответственности на обложке Jenderal92. Проверьте его ЗДЕСЬ !!!

📚 Ссылки

· Рекомендация Censys · Запись NVD · Объявление безопасности JoomShaper

📄 Лицензия

Этот проект предназначен только для образовательных и исследовательских целей. Используйте на свой страх и риск.