CVE-2026-78077
WysokieCVSS 8.6Streszczenie
W rozszerzeniu Helix Ultimate dla Joomla przed wersją 2.2.10 wykryto podatność na przechowywany XSS w MegaMenu. Niesanityzowane wartości konfiguracyjne kolumn i elementów w JSON-ie MegaMenu były renderowane bez pełnego kontekstowego escapowania, co pozwalało na wstrzyknięcie złośliwego HTML/JS. Wprowadzono surowszą sanityzację i listy dozwolonych tagów.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce administratora, co może prowadzić do kradzieży sesji lub przejęcia panelu administracyjnego.
Rekomendacja
Należy zaktualizować Helix Ultimate do wersji 2.2.10 lub nowszej, która zawiera poprawkę.
Inne podatności w Helix Ultimate
Zobacz wszystkie- CVE-2026-78079Średnie
W rozszerzeniu Helix Ultimate dla Joomla (wersje < 2.2.10) wykryto podatność na otwarte przekierowanie (Open Redirect) przez parametr Base64 w mechanizmie zwrotnym. Parametry przekierowania akceptują dowolne ciągi Base64 bez weryfikacji, czy cel jest wewnętrznym adresem URL.
- CVE-2026-78078Wysokie
W rozszerzeniu Helix Ultimate dla Joomla przed wersją 2.2.10 wykryto podatność na obejście ograniczeń przesyłania plików. Wcześniej walidowano tylko rozszerzenie pliku i podstawowe parametry rozmiaru, co pozwalało na przesyłanie plików niebędących obrazami z rozszerzeniami rastrowymi. Dodano ścisłą weryfikację MIME i dekodowanie GD, aby odrzucać nieprawidłowe obrazy.
- CVE-2026-78076Średnie
W rozszerzeniu Helix Ultimate dla Joomla (wersje < 2.2.10) wykryto brak autoryzacji w ustawieniach MegaMenu. Punkt końcowy AJAX save-megamenu-settings nie egzekwuje uprawnień edycji na poziomie elementu menu ani menu. Uwierzytelniony użytkownik może modyfikować parametry układu dowolnych elementów menu bez odpowiednich uprawnień.
- CVE-2026-78075Średnie
W rozszerzeniu Helix Ultimate dla Joomla (wersje < 2.2.10) wykryto podatność na naruszenie autoryzacji na poziomie obiektu w usuwaniu obrazów bloga. Funkcja Blog::remove_image() sprawdza uprawnienia do edycji artykułu, ale nie weryfikuje, czy ścieżka obrazu (src) należy do tego artykułu. W wersjach Joomla 3, gdzie usuwanie plików jest fizyczne, autor może usunąć dowolne pliki w katalogu /images/.
- CVE-2026-57830Krytyczne
Rozszerzenie Joomla Helix Ultimate w wersji poniżej 2.2.7 zawiera podatność na nieuwierzytelnione usuwanie dowolnych plików. Atakujący bez logowania może usunąć dowolny plik na serwerze.
- CVE-2026-57829Średnie
Rozszerzenie Joomla Helix Ultimate w wersjach poniżej 2.2.7 jest podatne na nieuwierzytelnione trwałe XSS. Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - joomshaper.com - Stored Cross-Site Scripting (XSS) in MegaMenu Layout Container & Embed Inputs in Helix Ultimate < 2.2.10 - Unsanitized column and item configuration values stored within the MegaMenu layout JSON were rendered without complete contextual escaping, allowing injection of malicious HTML/JS. Stricter sanitization and tag allowlists via `InputFilter` and `htmlspecialchars` were implemented.