CVE-2026-71570
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność na obejście kontroli dostępu (ACL), umożliwiającą wyliczanie profili użytkowników Joomla. Operator backendu z ograniczonym dostępem tylko do komponentu com_icagenda może uzyskać informacje o innych użytkownikach.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu danych użytkowników, co może naruszyć prywatność i prowadzić do dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację rozszerzenia iCagenda do wersji 2.0.0-4.0.11 lub nowszej, która usuwa tę podatność.
Inne podatności w iCagenda
Zobacz wszystkie- CVE-2026-67365Krytyczne
Rozszerzenie Joomla iCagenda w wersjach przed 4.0.0-4.0.11 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL w module mod_icagenda_calendar. Atak jest możliwy przez komponent com_ajax bez wymaganej sesji, tokena czy konta.
- CVE-2026-48939KrytyczneAktywnie exploitowane
Podatność w rozszerzeniu iCagenda dla Joomla umożliwia przesyłanie dowolnych plików w funkcji załączników, co prowadzi do wgrania i wykonania kodu PHP.
- CVE-2026-75948Wysokie
Rozszerzenie Joomla iCagenda w wersjach 4.0.8 do 4.0.12 zawiera uwierzytelnioną podatność na trwały XSS w formularzu 'Submit an Event', gdzie pola 'image' i 'file' są przechowywane bez odpowiedniego escapowania atrybutów HTML.
- CVE-2026-67366Średnie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność CSRF na operacjach rejestracji w interfejsie frontend. Wiele operacji zmieniających stan w frontendzie można wywołać bez sprawdzenia tokena CSRF.
- CVE-2026-71571Wysokie
Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność na wstrzykiwanie SQL przez nieszczelny filtr numeryczny w wersjach < 2.0.0-4.0.11. Operatorzy backendu z uprawnieniami dostępu do iCagenda mogą wstrzykiwać zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - icagenda.com - ACL bypass allowing arbitrary user enumeration < 2.0.0-4.0.11 - A backend operator granted access scoped to `com_icagenda` only could enumerate Joomla user profiles.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS