CVE-2026-60028
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność typu Authenticated Stored XSS w rozszerzeniu Quix Page Builder dla Joomla (wersje < 6.2.1). Uwierzytelniony użytkownik z uprawnieniami buildera może wstrzyknąć skrypty, które wykonują się dla każdego odwiedzającego stronę, z powodu nieuciekanych danych wyjściowych i niesanityzowanego SVG.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji, przekierowania do złośliwych stron oraz kradzież danych uwierzytelniających od odwiedzających stronę.
Rekomendacja
Zaleca się aktualizację Quix Page Builder do wersji 6.2.1 lub nowszej oraz ograniczenie uprawnień użytkowników buildera.
Inne podatności w Quix Page Builder
Zobacz wszystkie- CVE-2026-60031Średnie
Rozszerzenie Joomla Quix Page Builder Pro przed wersją 6.2.1 ujawnia informacje poprzez zwracanie surowych wyjątków w odpowiedziach AJAX. Podatność ta pozwala na wyciek danych technicznych.
- CVE-2026-60030Wysokie
Podatność w rozszerzeniu Joomla Quix Page Builder (wersje przed 6.2.1) polegająca na nieprawidłowej kontroli dostępu do zarządzania mediami. Uwierzytelnieni użytkownicy mogą przesyłać pliki multimedialne niezależnie od ich uprawnień do zarządzania mediami.
- CVE-2026-60029Średnie
Rozszerzenie Joomla Quix Page Builder Pro przed wersją 6.2.1 zawiera podatność na trwałe XSS (stored XSS) uwierzytelnionych użytkowników. Uwierzytelnieni użytkownicy mogą wstrzyknąć złośliwy kod w pola id/class, które są renderowane dla publicznych użytkowników.
- CVE-2026-60027Wysokie
Podatność typu path traversal i odczytu plików w rozszerzeniu Quix Page Builder dla Joomla (wersje < 6.2.1). Niezalogowani użytkownicy mogą wykorzystać elementy formularza do odczytu dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - themexpert.com - Authenticated stored XSS in Quix Page Builder < 6.2.1 - The Joomla extension Quix Page Builder Pro is vulnerable to an authenticated stored XSS vulnerability. Authenticated builder user could inject scripts, fires for any visitor or admin viewing the page. Unescaped output + unsanitised SVG.