CRITICAL🇬🇧 English

CVE-2026-48908

SP Page Builder dla Joomla — nieuwierzytelnione wgrywanie plików i RCE

CVSS 10.0v4.0pub. 2026-06-20upd. 2026-07-05

Podatność w rozszerzeniu SP Page Builder dla Joomla umożliwia nieuwierzytelnionym użytkownikom przesyłanie dowolnych plików na serwer, co w konsekwencji prowadzi do wykonania złośliwego kodu PHP (RCE). Ocena CVSS 10.0 i aktywny exploit czynią tę podatność wyjątkowo niebezpieczną.

Pokaż oryginał (EN)

A vulnerability in SP Page Builder for Joomla allows unauthenticated users to upload arbitrary files, ultimately resulting in the upload and execution of PHP code.

🤖 Analiza AI
Jak działa

Atakujący bez żadnego uwierzytelnienia może przesłać dowolny plik na serwer korzystający z SP Page Builder (CWE-284: niewłaściwa kontrola dostępu). Mechanizm wgrywania plików nie weryfikuje poprawnie tożsamości żądającego ani typu przesyłanego pliku, co pozwala na umieszczenie pliku PHP na serwerze. Po wgraniu plik PHP może zostać wykonany przez serwer WWW, dając atakującemu pełną kontrolę nad środowiskiem.

Skutki

Atakujący może uzyskać możliwość zdalnego wykonania dowolnego kodu (RCE) na serwerze, co w praktyce oznacza pełne przejęcie kontroli nad aplikacją, serwerem oraz potencjalnie innymi systemami w sieci (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. W trybie natychmiastowym zaleca się wyłączenie lub odinstalowanie rozszerzenia SP Page Builder do czasu wdrożenia poprawki. Należy również przejrzeć serwer pod kątem obecności nieautoryzowanych plików PHP wgranych przed zastosowaniem patcha.

Kogo dotyczy

SP Page Builder dla Joomla — konkretne wersje wskazane w referencjach producenta (joomshaper.com).

Uwagi

W metadanych wektora CVSS obecny jest parametr E:A (Exploit Maturity: Attacked), co wskazuje na aktywne wykorzystywanie podatności. Jedna z referencji wskazuje na publiczny opis techniczny podatności określonej jako zero-day (mysites.guru). Pomimo braku wpisu w CISA KEV, należy traktować podatność jako aktywnie eksploatowaną.

CVSS Vector
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:X/U:Red
  • Ollyo Sp Page Builder

    APP
    Ollyo
    < 6.6.2
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
CWE
Referencje

Powiązane podatności

CVE-2026-49049HIGH7.5ten sam vendor

The Helix3 plugin for Joomla exposes an ajax handler task, that allows unauthenticated attackers to delete arb...