CVE-2026-48941
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność w komponencie K2 dla Joomla! umożliwia nieuwierzytelnionemu atakującemu usunięcie dowolnego katalogu poprzez parametr `sigProFolder` w zadaniu `item.checkin`. Atakujący może wykorzystać tę lukę do usunięcia katalogów galerii w ścieżce `/media/k2/galleries/`.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego usunięcia katalogów galerii bez uwierzytelnienia, co może prowadzić do utraty danych, zakłócenia działania strony lub dalszej eskalacji ataku.
Rekomendacja
Należy natychmiast zaktualizować komponent K2 do najnowszej wersji, która zawiera poprawkę usuwającą podatność. Do czasu aktualizacji zaleca się wyłączenie zadania `item.checkin` lub zastosowanie reguł WAF blokujących niebezpieczne parametry.
Inne podatności w K2
Zobacz wszystkie- CVE-2026-48946Średnie
Podatność w komponencie K2 umożliwia autorom przesyłanie plików PHP jako załączników do artykułów. Serwer Apache wykonuje te pliki, co pozwala na zdalne wykonanie kodu PHP w kontekście serwera WWW.
- CVE-2026-48945Średnie
Podatność w komponencie K2 dla Joomla! umożliwia wgranie archiwum ZIP/TAR zawierającego pliki PHP do katalogu galerii. System zmienia nazwy tylko plików graficznych, a pozostałe pliki (w tym PHP) są rozpakowywane bez zmian i dostępne przez HTTP, co pozwala na zdalne wykonanie kodu.
- CVE-2026-48944Średnie
Podatność w komponencie K2 dla Joomla! pozwala autorowi na skopiowanie dowolnego pliku czytelnego dla użytkownika www (np. configuration.php lub /etc/passwd) do katalogu /media/k2/attachments/ poprzez manipulację polem `attachment[N][existing]` w formularzu zapisu artykułu. Brak walidacji ścieżki źródłowej i filtrowania `..` w `JPath::clean` umożliwia atak path traversal.
- CVE-2026-48943Średnie
Podatność w systemie K2 (wersja ≤ 2.24) umożliwia atak typu mass-assignment w wtyczce użytkownika `plg_user_k2`. Zarejestrowany użytkownik Joomla może, dodając pole `K2UserForm=1` do standardowego żądania POST `com_users` `profile.save`, zapisać dowolne wartości w kolumnach `notes`, `image` i `plugins` swojego wiersza w tabeli `#__k2_users`, które nie są dostępne w formularzu edycji profilu K2.
- CVE-2026-48942Średnie
Wtyczka K2 w wersji 2.26 i starszej wyświetla zawartość kolumny `#__k2_users.image` bezpośrednio w atrybutach `src` znaczników HTML w dwóch różnych szablonach, bez żadnego kodowania HTML.
- CVE-2026-48940Niskie
Użytkownik Joomla z uprawnieniami K2 do tworzenia elementów (domyślnie rola Autora) może przesłać artykuł, w którym pole POST `embedVideo` zawiera surowy znacznik `<script>`. K2 przechowuje go dosłownie i wyświetla bez kodowania każdemu odwiedzającemu stronę artykułu.
Oryginalny opis (angielski, źródło NVD)
The K2 frontend `item.checkin` task accepts an unauthenticated `sigProFolder` query parameter and uses it directly to address a `JFolder::delete()` call under `/media/k2/galleries/`