CVE-2026-60030
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność w rozszerzeniu Joomla Quix Page Builder (wersje przed 6.2.1) polegająca na nieprawidłowej kontroli dostępu do zarządzania mediami. Uwierzytelnieni użytkownicy mogą przesyłać pliki multimedialne niezależnie od ich uprawnień do zarządzania mediami.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane przesyłanie plików multimedialnych, co może prowadzić do wypełnienia przestrzeni dyskowej lub umieszczenia złośliwych plików.
Rekomendacja
Zaleca się aktualizację Quix Page Builder do wersji 6.2.1 lub nowszej oraz przegląd uprawnień użytkowników.
Inne podatności w Quix Page Builder
Zobacz wszystkie- CVE-2026-60031Średnie
Rozszerzenie Joomla Quix Page Builder Pro przed wersją 6.2.1 ujawnia informacje poprzez zwracanie surowych wyjątków w odpowiedziach AJAX. Podatność ta pozwala na wyciek danych technicznych.
- CVE-2026-60029Średnie
Rozszerzenie Joomla Quix Page Builder Pro przed wersją 6.2.1 zawiera podatność na trwałe XSS (stored XSS) uwierzytelnionych użytkowników. Uwierzytelnieni użytkownicy mogą wstrzyknąć złośliwy kod w pola id/class, które są renderowane dla publicznych użytkowników.
- CVE-2026-60028Wysokie
Podatność typu Authenticated Stored XSS w rozszerzeniu Quix Page Builder dla Joomla (wersje < 6.2.1). Uwierzytelniony użytkownik z uprawnieniami buildera może wstrzyknąć skrypty, które wykonują się dla każdego odwiedzającego stronę, z powodu nieuciekanych danych wyjściowych i niesanityzowanego SVG.
- CVE-2026-60027Wysokie
Podatność typu path traversal i odczytu plików w rozszerzeniu Quix Page Builder dla Joomla (wersje < 6.2.1). Niezalogowani użytkownicy mogą wykorzystać elementy formularza do odczytu dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - themexpert.com - Broken Access Control for media management in Quix Page Builder < 6.2.1 - The Joomla extension Quix Page Builder Pro is vulnerable to an improper access control. Authenticated users could upload media files regardless of their media management permissions.