CVE-2026-77991
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Rozszerzenie Joomla Event Manager w wersji poniżej 5.0.1 zawiera podatność na zdalne wykonanie kodu z uprawnieniami administratora. Administrator może zapisywać niebezpieczne typy plików, w tym PHP, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko pełnego przejęcia serwera przez administratora, który może wykonać dowolny kod.
Rekomendacja
Zaktualizuj rozszerzenie Joomla Event Manager do wersji 5.0.1 lub nowszej, która zawiera poprawkę tej podatności.
Inne podatności w Joomla Event Manager
Zobacz wszystkie- CVE-2026-77990Średnie
W rozszerzeniu Joomla Event Manager przed wersją 5.0.1 listy uczestników wydarzeń są dostępne dla każdego zalogowanego użytkownika. Osoba niebędąca menedżerem może odczytać nazwiska, nazwy użytkowników, daty rejestracji i statusy uczestników wydarzeń, których nie zarządza, w tym listy dotyczące nieopublikowanych wydarzeń.
- CVE-2026-77035Średnie
W rozszerzeniu Joomla Event Manager przed wersją 5.0.1 istnieje podatność umożliwiająca przejęcie wydarzeń i miejsc przez innego użytkownika poprzez sfałszowane pola formularza. Zarejestrowany użytkownik z prawami edycji własnych (ustawienie eventowner=1 lub core.edit.own) może wysłać identyfikator rekordu innego użytkownika wraz z własnym identyfikatorem jako created_by i przejąć ten rekord.
- CVE-2026-77034Średnie
W rozszerzeniu Joomla Event Manager przed wersją 5.0.1 istnieje podatność umożliwiająca nieuwierzytelnionemu użytkownikowi nadpisanie artykułu i wymuszenie jego publikacji. Każdy odwiedzający z własnym tokenem sesji może ponownie opublikować i nadpisać artykuł powiązany z wydarzeniem.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - joomlaeventmanager.net - Privileged remote code execution in Joomla Event Manager < 5.0.1 - The administrator source model allows to write dangerous file type incl. PHP, leading to remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS