Podatność w rozszerzeniu SP Page Builder dla Joomla umożliwia nieuwierzytelnionym użytkownikom przesyłanie dowolnych plików na serwer, co w konsekwencji prowadzi do wykonania złośliwego kodu PHP (RCE). Ocena CVSS 10.0 i aktywny exploit czynią tę podatność wyjątkowo niebezpieczną.
▸ Pokaż oryginał (EN)
A vulnerability in SP Page Builder for Joomla allows unauthenticated users to upload arbitrary files, ultimately resulting in the upload and execution of PHP code.
Atakujący bez żadnego uwierzytelnienia może przesłać dowolny plik na serwer korzystający z SP Page Builder (CWE-284: niewłaściwa kontrola dostępu). Mechanizm wgrywania plików nie weryfikuje poprawnie tożsamości żądającego ani typu przesyłanego pliku, co pozwala na umieszczenie pliku PHP na serwerze. Po wgraniu plik PHP może zostać wykonany przez serwer WWW, dając atakującemu pełną kontrolę nad środowiskiem.
Atakujący może uzyskać możliwość zdalnego wykonania dowolnego kodu (RCE) na serwerze, co w praktyce oznacza pełne przejęcie kontroli nad aplikacją, serwerem oraz potencjalnie innymi systemami w sieci (lateral movement).
Należy zastosować patche dostępne u producenta zgodnie z referencjami. W trybie natychmiastowym zaleca się wyłączenie lub odinstalowanie rozszerzenia SP Page Builder do czasu wdrożenia poprawki. Należy również przejrzeć serwer pod kątem obecności nieautoryzowanych plików PHP wgranych przed zastosowaniem patcha.
SP Page Builder dla Joomla — konkretne wersje wskazane w referencjach producenta (joomshaper.com).
W metadanych wektora CVSS obecny jest parametr E:A (Exploit Maturity: Attacked), co wskazuje na aktywne wykorzystywanie podatności. Jedna z referencji wskazuje na publiczny opis techniczny podatności określonej jako zero-day (mysites.guru). Pomimo braku wpisu w CISA KEV, należy traktować podatność jako aktywnie eksploatowaną.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:X/U:RedOllyo Sp Page Builder
APPOllyo< 6.6.2
CISA KEV — szczegółyi
- Dostawcai
- JoomShaper
- Produkti
- SP Page Builder
- Data dodania do KEVi
- 7 lipca 2026
- Termin remediation (USA)i
- 10 lipca 2026(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, zapewniając zgodność z wytycznymi CISA BOD 26-04 Prioritizing Security Updates Based on Risk (zobacz URL w Notes) i "Forensics Triage Requirements" CISA (zobacz URL w Notes). Postępuj zgodnie z mającymi zastosowanie wytycznymi BOD 26-04 dla usług w chmurze lub zaprzestań używania produktu, jeśli mitygacje są niedostępne. Zainteresowane strony są odpowiedzialne za ocenę ekspozycji każdego zasobu na internet i zapewnienie zgodności z wytycznymi dotyczącymi patchowania BOD 26-04.
▸ Pokaż oryginał (EN)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
JoomShaper SP Page Builder zawiera lukę umożliwiającą nieograniczone przesyłanie plików niebezpiecznego typu, która pozwala niezauwierzytelnianym użytkownikom przesyłać dowolne pliki, w rezultacie prowadząc do przesłania i wykonania kodu PHP.
▸ Pokaż oryginał (EN)
JoomShaper SP Page Builder contains an unrestricted upload of file with dangerous type vulnerability that allows unauthenticated users to upload arbitrary files, ultimately resulting in the upload and execution of PHP code.