Exécution de code arbitraire à distance sans authentification affectant l'extension SP Page Builder pour Joomla
Une vulnérabilité affectant l'extension SP Page Builder pour Joomla permettrait à un attaquant non authentifié de téléverser des fichiers arbitraires et d'exécuter du code arbitraire à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
SP Page Builder est une extension de création de pages pour le système de gestion de contenu Joomla, développée par JoomShaper. Cette extension est affectée par une vulnérabilité libellée CVE-2026-48908, résultant d'une absence de contrôle d'accès et de validation du type de fichier dans la fonctionnalité uploadCustomIcon. Son exploitation permettrait à un acteur malveillant non authentifié de téléverser un fichier arbitraire, y compris un script PHP, dans le répertoire du site et d'exécuter du code arbitraire à distance avec les privilèges du serveur. Elle est classée critique avec un score de sévérité de 10.0 selon le CVSS V4.0.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Téléversement de fichiers arbitraires ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Versions 1.0.0 à 6.6.1 de l'extension SP Page Builder pour Joomla.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour l'extension SP Page Builder vers la version 6.6.2 ou supérieure ;
- Rechercher d'éventuels fichiers téléversés illégitimes (notamment des scripts PHP) à la racine web du site ;
- Rechercher des signes de compromission sur les serveurs concernés.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.