CVE-2026-60029
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Rozszerzenie Joomla Quix Page Builder Pro przed wersją 6.2.1 zawiera podatność na trwałe XSS (stored XSS) uwierzytelnionych użytkowników. Uwierzytelnieni użytkownicy mogą wstrzyknąć złośliwy kod w pola id/class, które są renderowane dla publicznych użytkowników.
Ocena ryzyka
Atakujący może wykraść sesje innych użytkowników, przekierować ich na złośliwe strony lub wykonać dowolny kod JavaScript w ich przeglądarkach.
Rekomendacja
Należy zaktualizować Quix Page Builder Pro do wersji 6.2.1 lub nowszej.
Inne podatności w Quix Page Builder
Zobacz wszystkie- CVE-2026-60031Średnie
Rozszerzenie Joomla Quix Page Builder Pro przed wersją 6.2.1 ujawnia informacje poprzez zwracanie surowych wyjątków w odpowiedziach AJAX. Podatność ta pozwala na wyciek danych technicznych.
- CVE-2026-60030Wysokie
Podatność w rozszerzeniu Joomla Quix Page Builder (wersje przed 6.2.1) polegająca na nieprawidłowej kontroli dostępu do zarządzania mediami. Uwierzytelnieni użytkownicy mogą przesyłać pliki multimedialne niezależnie od ich uprawnień do zarządzania mediami.
- CVE-2026-60028Wysokie
Podatność typu Authenticated Stored XSS w rozszerzeniu Quix Page Builder dla Joomla (wersje < 6.2.1). Uwierzytelniony użytkownik z uprawnieniami buildera może wstrzyknąć skrypty, które wykonują się dla każdego odwiedzającego stronę, z powodu nieuciekanych danych wyjściowych i niesanityzowanego SVG.
- CVE-2026-60027Wysokie
Podatność typu path traversal i odczytu plików w rozszerzeniu Quix Page Builder dla Joomla (wersje < 6.2.1). Niezalogowani użytkownicy mogą wykorzystać elementy formularza do odczytu dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - themexpert.com - Authenticated stored XSS in Quix Page Builder < 6.2.1 - The Joomla extension Quix Page Builder Pro is vulnerable to an authenticated stored XSS vulnerability. Authenticated builder users could break out of id/class fields that render for public users.