CVE-2026-48907 是 Joomla 的 JCE 编辑器扩展中的一个严重的不当访问控制漏洞。它允许未认证的攻击者创建新的编辑器配置文件，最终可能导致在受影响系统上任意上传 PHP 文件并执行远程代码。
此外，如果你想要 webshell，可以使用任意 webshell，只需将其重命名为 alfa.php 或使用自定义的 php 名称，但你必须更改 Python 代码中的名称，所以尽情享受吧。
另一件事：永远不要使用从垃圾 Python pypi 安装的 nuclei，始终使用 Go 版本的 nuclei 以获得更好的结果，使用 httpx 以获得更好的性能，先验证它再运行。
但最后我想，为什么不为此目的使用 nuclei 呢？所以我制作了自定义的 YAML nuclei 脚本，所以不用在 webshell 上浪费时间寻找，玩得开心。
代码：
nuclei -t r.yaml --validate
如果没有报错，则可以这样使用：
nuclei -l targets.txt -t r.yaml