CVE-2026-102780

KrytyczneCVSS 9.8

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Rozszerzenie Joomla TF Content w wersjach 2.9.0–2.9.4 bezwarunkowo autoryzuje tworzenie i edycję w publicznym RecordController. Gość może uzyskać token z publicznego formularza logowania i modyfikować dowolne rekordy, w tym masowo przypisywać pola published, access i created_by.

Ocena ryzyka

Nieuwierzytelniony użytkownik może publikować i modyfikować treści oraz zmieniać uprawnienia dostępu, co prowadzi do naruszenia integralności danych i potencjalnego ujawnienia informacji.

Rekomendacja

Zaktualizować rozszerzenie TF Content do wersji nowszej niż 2.9.4, która naprawia problem autoryzacji i mass assignment.

Inne podatności w TF Content

CVE-2026-102779Średnie
Rozszerzenie Joomla TF Content w wersjach 2.9.0 - 2.9.4 udostępnia zadanie `records.custom_action` bez uwierzytelnienia, kontroli ACL, CSRF, wyzwalacza zadań, powiązania z treścią lub tokena cron. Gość może podać numeryczny ID dowolnego opublikowanego zadania TF Content i wymusić natychmiastowe wykonanie skonfigurowanego executora.

Oryginalny opis (angielski, źródło NVD)

Joomla Extension - joomlafry.com - Unauthenticated cross-record publication and mass assignment in TF Content 2.9.0 - 2.9.4 - The extension unconditionally authorizes both creation and editing in its public `RecordController`. Its shared frontend save controller accepts the raw `jform` array, assigns the request-selected existing record ID, and saves it without filtering submitted properties through the configured form. A Guest can obtain a valid token from Joomla's public login form and modify any TF Content row, including mass-assigning `published`, `access`, and `created_by`.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS