CVE-2026-64796
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Rozszerzenie Sourcerer dla Joomla! od regularlabs.com zawiera wiele wektorów iniekcji kodu: w wersji Free nie wymaga, aby zarówno twórca artykułu, jak i ostatni modyfikator byli Super Użytkownikami przed wykonaniem kodu PHP; wersja Pro niespójnie egzekwuje skonfigurowane uprawnienia CSS, JavaScript i PHP; atrybuty PHP include mogą opuścić skonfigurowany folder; warianty skryptów/stylów mogą ominąć wykrywanie.
Ocena ryzyka
Atakujący mogą wykonywać nieautoryzowany kod PHP, CSS lub JavaScript, co prowadzi do przejęcia kont, kradzieży danych lub defacementu strony.
Rekomendacja
Zaleca się natychmiastową aktualizację rozszerzenia Sourcerer do najnowszej wersji oraz dokładne skonfigurowanie uprawnień dla wszystkich typów zawartości.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - regularlabs.com - various code injection vectors in Sourcerer extension - Free did not require both the article creator and last modifier to be Super Users before executing article PHP. Pro did not consistently enforce configured CSS, JavaScript and PHP permissions across tags, attributes, files and both article owners. PHP include attributes could also escape the configured include folder, and executable script/style variants could bypass detection.