CVE-2026-67365
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Rozszerzenie Joomla iCagenda w wersjach przed 4.0.0-4.0.11 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL w module mod_icagenda_calendar. Atak jest możliwy przez komponent com_ajax bez wymaganej sesji, tokena czy konta.
Ocena ryzyka
Atakujący bez uwierzytelnienia może manipulować zapytaniami do bazy danych, co może prowadzić do wycieku danych lub ich modyfikacji.
Rekomendacja
Zaktualizuj rozszerzenie iCagenda do wersji 4.0.11 lub nowszej, która zawiera poprawkę.
Inne podatności w iCagenda
Zobacz wszystkie- CVE-2026-48939KrytyczneAktywnie exploitowane
Podatność w rozszerzeniu iCagenda dla Joomla umożliwia przesyłanie dowolnych plików w funkcji załączników, co prowadzi do wgrania i wykonania kodu PHP.
- CVE-2026-75948Wysokie
Rozszerzenie Joomla iCagenda w wersjach 4.0.8 do 4.0.12 zawiera uwierzytelnioną podatność na trwały XSS w formularzu 'Submit an Event', gdzie pola 'image' i 'file' są przechowywane bez odpowiedniego escapowania atrybutów HTML.
- CVE-2026-71570Średnie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność na obejście kontroli dostępu (ACL), umożliwiającą wyliczanie profili użytkowników Joomla. Operator backendu z ograniczonym dostępem tylko do komponentu com_icagenda może uzyskać informacje o innych użytkownikach.
- CVE-2026-67366Średnie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność CSRF na operacjach rejestracji w interfejsie frontend. Wiele operacji zmieniających stan w frontendzie można wywołać bez sprawdzenia tokena CSRF.
- CVE-2026-71571Wysokie
Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność na wstrzykiwanie SQL przez nieszczelny filtr numeryczny w wersjach < 2.0.0-4.0.11. Operatorzy backendu z uprawnieniami dostępu do iCagenda mogą wstrzykiwać zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - icagenda.com - Unauthenticated SQL injection in iCagenda < 4.0.0-4.0.11 - Unauthenticated SQL injection in mod_icagenda_calendar (iCagenda), reachable via com_ajax with no session, token or account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS