Joomla! - CVE-2026-48908
Date de publication :
Il s'agit d'une vulnérabilité dans le contrôleur de site de SP Page Builder gérant la tâche asset.uploadCustomIcon.
SP Page Builder est une extension de construction de pages visuelles pour le CMS Joomla!. Elle propose une interface drag-and-drop et des modules additionnels pour la création de mises en page sans développement.
Ce contrôleur ne réalisait aucune vérification d'accès, rendant l'endpoint accessible à toute requête anonyme. Un attaquant peut déposer un fichier PHP arbitraire via cet endpoint et en déclencher l'exécution sur le serveur.
Elle permet l'exécution de code arbitraire à distance et la compromission totale de l'installation Joomla.
Note : plusieurs vulnérabilités critiques affectant des composants Joomla! ont été publiées récemment avec des exploits actifs. Il est fortement recommandé de maintenir Joomla! et l'ensemble de ses extensions à jour.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-284 : Improper Access Control
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• SP Page Builder versions 4.x jusqu'à 6.6.1 inclus
• SP Page Builder versions 3.x et antérieures : non affectées (confirmé par l'éditeur)