CVE-2026-78071
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W rozszerzeniu DP Calendar dla Joomla (digital-peak.com) w wersjach 7.0.0-8.19.5 oraz 9.0.0-10.12.0 występuje uwierzytelniona, uprzywilejowana podatność stored XSS. Tytuł lokalizacji jest renderowany w atrybucie data bez escapowania, co prowadzi do XSS; wymagane jest uprawnienie do tworzenia w DPCalendar.
Ocena ryzyka
Użytkownik z uprawnieniem do tworzenia może zapisać złośliwy skrypt, który wykona się w przeglądarkach innych użytkowników. Może to prowadzić do kradzieży sesji lub wykonania działań w imieniu ofiar.
Rekomendacja
Zaktualizuj DP Calendar do wersji nowszej niż 8.19.5 (dla gałęzi 8.x) lub nowszej niż 10.12.0 (dla gałęzi 10.x). Ogranicz uprawnienia do tworzenia treści wyłącznie do zaufanych użytkowników.
Inne podatności w DP Calendar
Zobacz wszystkie- CVE-2026-78070Średnie
Rozszerzenie Joomla - digital-peak.com - Uwierzytelniona, uprzywilejowana ślepa iniekcja SQL w DP Calendar 5.5.0 - 10.11.2. Zapisanie artykułu może wywołać ślepą iniekcję SQL z wtyczką treści, wymaga uprawnień do aktualizacji artykułów.
- CVE-2026-57831Wysokie
Rozszerzenie Joomla DP Calendar w wersjach 8.18.0 do 10.11.2 jest podatne na nieuwierzytelnione ślepe wstrzyknięcie SQL. Atakujący może wysyłać spreparowane zapytania bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - digital-peak.com - Authenticated, privileged stored XSS in DP Calendar 7.0.0-8.19.5, 9.0.0-10.12.0 - Location title is rendered in data attribute without escaping leads to XSS, needs create permission in DPCalendar.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS