CVE-2026-67285

Rozszerzenie Joomla - joomshaper.com - Nieuwierzytelnione przekazywanie poczty przez zakodowany na stałe sekret w SP Page Builder < 6.7.1. Zakodowany na stałe sekret umożliwiał atakującym fałszowanie adresu nadawcy w formularzach.

Rozszerzenie Joomla SP Page Builder w wersjach przed 6.8.0 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL. Niewłaściwa walidacja parametrów catid w punkcie końcowym loadMoreArticles umożliwia atakującemu wykonanie zapytań SQL.

Rozszerzenie SP Page Builder dla Joomla w wersji poniżej 6.7.1 zawiera podatność na nieuwierzytelnione wstrzykiwanie SQL w punkcie końcowym Dynamic Content z powodu nieprawidłowej walidacji parametru order.

Rozszerzenie Joomla SP Page Builder (Free i Pro) w wersjach 4.0.0–6.9.0 zawiera podatność typu brak kontroli dostępu w procesie tworzenia pozycji menu. Procedura dodawania do menu wywoływała bezpośrednio metodę save() modelu com_menus, który sam nie wykonuje autoryzacji, ponieważ odpowiednie sprawdzenia znajdują się w kontrolerze com_menus; jedynym zastosowanym sprawdzeniem było core.edit na com_sppagebuilder. Użytkownicy bez jakichkolwiek uprawnień do com_menus mogli tworzyć pozycje menu, a ponieważ identyfikator rekordu był pobierany z pola jform[menuid], mogli także nadpisywać istniejące pozycje. Flaga home była odczytywana z bazy danych i zachowywana, więc główna pozycja menu witryny mogła zostać przekierowana, pozostając pozycją główną.

W rozszerzeniu SP Page Builder (wersje 4.0.0 - 6.9.0) parametr folder z żądania zastępował w całości generowaną nazwę katalogu docelowego i był przekazywany do Folder::create() oraz File::upload() bez sprawdzenia granic katalogu. Umożliwiało to zapis plików w dowolnym katalogu poniżej katalogu głównego witryny, w tym administrator/, templates/, cli/ oraz w katalogu głównym. Filtr PATH w Joomla uniemożliwiał wyjście powyżej web root, a istniejące pliki nie były nadpisywane.

Rozszerzenie Joomla SP Page Builder (Free i Pro) w wersjach 4.0.0 - 6.9.0 zawiera błąd braku ograniczenia katalogu w zadaniu zmiany nazwy mediów, umożliwiający zmianę nazwy dowolnego pliku. Zadanie zmiany nazwy nie stosowało kontroli granic katalogu, a walidacja nie sprawdzała spójności identyfikatora i ścieżki, co pozwalało na zmianę nazwy plików w całej instalacji, w tym configuration.php.

Rozszerzenie Joomla SP Page Builder (Free i Pro) w wersjach 5.2.1 - 6.9.0 zawiera podatność SQL Injection w wtyczce Content. Funkcja plgContentSppagebuilder::onContentAfterSave() odczytywała jform[attribs][sppagebuilder_article_id] z żądania i wstawiała ją bezpośrednio do zapytania SQL bez cytowania lub rzutowania typu. Atakujący mógł przeprowadzić czasową ślepą iniekcję SQL w celu odczytu dowolnych danych z bazy, w tym tabel #__users i #__session.

W rozszerzeniu Joomla SP Page Builder w wersji poniżej 6.8.0 nieuwierzytelniony atakujący może tworzyć komentarze, nawet jeśli komentowanie dla gości jest wyłączone, poprzez nadpisanie ustawienia danymi wejściowymi użytkownika.

W rozszerzeniu Joomla SP Page Builder w wersji poniżej 6.8.0 nieuwierzytelniony atakujący może tworzyć dowolne katalogi i pliki o z góry określonej nazwie.