CVE-2026-60026

WysokieCVSS 8.9

Opublikowano: 20/07/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Rozszerzenie Joomla Quix Page Builder Pro w wersji poniżej 6.2.1 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami core.create/core.edit wstrzyknięcie kodu PHP do treści elementów. Kod ten jest wykonywany przez funkcję include() podczas wyświetlania widoku, gdy włączone jest buforowanie (domyślnie włączone).

Ocena ryzyka

Atakujący może wykonać dowolny kod PHP na serwerze, co prowadzi do pełnego przejęcia kontroli nad witryną Joomla i potencjalnie całym serwerem.

Rekomendacja

Zaktualizuj rozszerzenie Quix Page Builder Pro do wersji 6.2.1 lub nowszej. Wyłącz buforowanie, jeśli aktualizacja nie jest natychmiast możliwa.

Inne podatności w Quix Page Builder Pro

CVE-2026-58078Wysokie
Rozszerzenie Joomla Quix Page Builder Pro w wersji poniżej 6.2.1 jest podatne na nieuwierzytelnione wstrzyknięcie SQL. Atakujący może wysyłać spreparowane zapytania bez konieczności logowania.

Oryginalny opis (angielski, źródło NVD)

Joomla Extension - themexpert.com - Authenticated PHP code execution in Quix Page Builder < 6.2.1 - The Joomla extension Quix Page Builder Pro is vulnerable to an authenticated PHP code execution. Authenticated builder user (core.create/core.edit) could inject PHP tags in element content, that got executed via view-cache include(). Requires caching on (default).