CVE-2026-48940
NiskieCVSS 3.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Użytkownik Joomla z uprawnieniami K2 do tworzenia elementów (domyślnie rola Autora) może przesłać artykuł, w którym pole POST `embedVideo` zawiera surowy znacznik `<script>`. K2 przechowuje go dosłownie i wyświetla bez kodowania każdemu odwiedzającemu stronę artykułu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach odwiedzających, prowadząc do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować rozszerzenie K2 do najnowszej wersji, która zawiera poprawkę usuwającą podatność na XSS. Do czasu aktualizacji należy ograniczyć uprawnienia do tworzenia artykułów tylko zaufanym użytkownikom.
Inne podatności w K2
Zobacz wszystkie- CVE-2026-48946Średnie
Podatność w komponencie K2 umożliwia autorom przesyłanie plików PHP jako załączników do artykułów. Serwer Apache wykonuje te pliki, co pozwala na zdalne wykonanie kodu PHP w kontekście serwera WWW.
- CVE-2026-48945Średnie
Podatność w komponencie K2 dla Joomla! umożliwia wgranie archiwum ZIP/TAR zawierającego pliki PHP do katalogu galerii. System zmienia nazwy tylko plików graficznych, a pozostałe pliki (w tym PHP) są rozpakowywane bez zmian i dostępne przez HTTP, co pozwala na zdalne wykonanie kodu.
- CVE-2026-48944Średnie
Podatność w komponencie K2 dla Joomla! pozwala autorowi na skopiowanie dowolnego pliku czytelnego dla użytkownika www (np. configuration.php lub /etc/passwd) do katalogu /media/k2/attachments/ poprzez manipulację polem `attachment[N][existing]` w formularzu zapisu artykułu. Brak walidacji ścieżki źródłowej i filtrowania `..` w `JPath::clean` umożliwia atak path traversal.
- CVE-2026-48943Średnie
Podatność w systemie K2 (wersja ≤ 2.24) umożliwia atak typu mass-assignment w wtyczce użytkownika `plg_user_k2`. Zarejestrowany użytkownik Joomla może, dodając pole `K2UserForm=1` do standardowego żądania POST `com_users` `profile.save`, zapisać dowolne wartości w kolumnach `notes`, `image` i `plugins` swojego wiersza w tabeli `#__k2_users`, które nie są dostępne w formularzu edycji profilu K2.
- CVE-2026-48942Średnie
Wtyczka K2 w wersji 2.26 i starszej wyświetla zawartość kolumny `#__k2_users.image` bezpośrednio w atrybutach `src` znaczników HTML w dwóch różnych szablonach, bez żadnego kodowania HTML.
- CVE-2026-48941Średnie
Podatność w komponencie K2 dla Joomla! umożliwia nieuwierzytelnionemu atakującemu usunięcie dowolnego katalogu poprzez parametr `sigProFolder` w zadaniu `item.checkin`. Atakujący może wykorzystać tę lukę do usunięcia katalogów galerii w ścieżce `/media/k2/galleries/`.
Oryginalny opis (angielski, źródło NVD)
A Joomla user with K2 "create item" rights (Author tier by default) can submit an article whose `embedVideo` POST field contains a raw `<script>` tag; K2 stores it verbatim and renders it unescaped to any visitor of the article page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS