CVE-2026-71571
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność na wstrzykiwanie SQL przez nieszczelny filtr numeryczny w wersjach < 2.0.0-4.0.11. Operatorzy backendu z uprawnieniami dostępu do iCagenda mogą wstrzykiwać zapytania SQL.
Ocena ryzyka
Uwierzytelniony operator może wstrzykiwać zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji.
Rekomendacja
Zaktualizuj rozszerzenie iCagenda do wersji 2.0.0-4.0.11 lub nowszej oraz ogranicz uprawnienia operatorów.
Inne podatności w iCagenda
Zobacz wszystkie- CVE-2026-67365Krytyczne
Rozszerzenie Joomla iCagenda w wersjach przed 4.0.0-4.0.11 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL w module mod_icagenda_calendar. Atak jest możliwy przez komponent com_ajax bez wymaganej sesji, tokena czy konta.
- CVE-2026-48939KrytyczneAktywnie exploitowane
Podatność w rozszerzeniu iCagenda dla Joomla umożliwia przesyłanie dowolnych plików w funkcji załączników, co prowadzi do wgrania i wykonania kodu PHP.
- CVE-2026-75948Wysokie
Rozszerzenie Joomla iCagenda w wersjach 4.0.8 do 4.0.12 zawiera uwierzytelnioną podatność na trwały XSS w formularzu 'Submit an Event', gdzie pola 'image' i 'file' są przechowywane bez odpowiedniego escapowania atrybutów HTML.
- CVE-2026-71570Średnie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność na obejście kontroli dostępu (ACL), umożliwiającą wyliczanie profili użytkowników Joomla. Operator backendu z ograniczonym dostępem tylko do komponentu com_icagenda może uzyskać informacje o innych użytkownikach.
- CVE-2026-67366Średnie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność CSRF na operacjach rejestracji w interfejsie frontend. Wiele operacji zmieniających stan w frontendzie można wywołać bez sprawdzenia tokena CSRF.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - icagenda.com - Authenticated SQL injection via unescaped numeric filter in iCagenda < 2.0.0-4.0.11 - Backend operators with permissions to access iCagenda could inject SQL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS