CVE-2026-60033
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Rozszerzenie JMedia dla Joomla! w wersji poniżej 1.6.0 jest podatne na fałszowanie żądań po stronie serwera (SSRF). Funkcjonalność pobierania zdalnych adresów URL może być wykorzystana do kierowania żądań na wewnętrzne/zastrzeżone adresy IP.
Ocena ryzyka
Ryzyko polega na możliwości skanowania wewnętrznej sieci, dostępu do wrażliwych usług oraz potencjalnej kradzieży danych uwierzytelniających z metadanych chmury.
Rekomendacja
Zaleca się aktualizację rozszerzenia JMedia do wersji 1.6.0 lub nowszej, która zawiera poprawkę eliminującą podatność SSRF.
Inne podatności w JMedia
Zobacz wszystkie- CVE-2026-60034Krytyczne
Rozszerzenie Joomla JMedia w wersji poniżej 1.6.0 jest podatne na trwałe XSS (stored cross-site scripting). Niezabezpieczone przesyłanie plików SVG oraz brak nagłówka nosniff umożliwiają atakującemu wstrzyknięcie złośliwego skryptu, który wykonuje się w przeglądarkach innych użytkowników.
- CVE-2026-60032Krytyczne
Rozszerzenie Joomla JMedia w wersji poniżej 1.6.0 jest podatne na uwierzytelnione przesyłanie dowolnych plików. Uwierzytelniony atakujący może przesyłać pliki wykonywalne (w tym z poliglotycznymi nazwami), a funkcja chmod nie usuwa bitów wykonania, co prowadzi do zdalnego wykonania kodu (RCE).
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - themexpert.com - SSRF via remote download in JMedia Extension < 1.6.0 - The Joomla extension JMedia is vulnerable to an SSRF vulnerability. Remote-URL download could target internal/reserved addresses.