CVE-2026-78078
WysokieCVSS 8.9Streszczenie
W rozszerzeniu Helix Ultimate dla Joomla przed wersją 2.2.10 wykryto podatność na obejście ograniczeń przesyłania plików. Wcześniej walidowano tylko rozszerzenie pliku i podstawowe parametry rozmiaru, co pozwalało na przesyłanie plików niebędących obrazami z rozszerzeniami rastrowymi. Dodano ścisłą weryfikację MIME i dekodowanie GD, aby odrzucać nieprawidłowe obrazy.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do wykonania kodu lub naruszenia integralności systemu.
Rekomendacja
Należy zaktualizować Helix Ultimate do wersji 2.2.10 lub nowszej, która zawiera poprawkę.
Inne podatności w Helix Ultimate
Zobacz wszystkie- CVE-2026-78079Średnie
W rozszerzeniu Helix Ultimate dla Joomla (wersje < 2.2.10) wykryto podatność na otwarte przekierowanie (Open Redirect) przez parametr Base64 w mechanizmie zwrotnym. Parametry przekierowania akceptują dowolne ciągi Base64 bez weryfikacji, czy cel jest wewnętrznym adresem URL.
- CVE-2026-78077Wysokie
W rozszerzeniu Helix Ultimate dla Joomla przed wersją 2.2.10 wykryto podatność na przechowywany XSS w MegaMenu. Niesanityzowane wartości konfiguracyjne kolumn i elementów w JSON-ie MegaMenu były renderowane bez pełnego kontekstowego escapowania, co pozwalało na wstrzyknięcie złośliwego HTML/JS. Wprowadzono surowszą sanityzację i listy dozwolonych tagów.
- CVE-2026-78076Średnie
W rozszerzeniu Helix Ultimate dla Joomla (wersje < 2.2.10) wykryto brak autoryzacji w ustawieniach MegaMenu. Punkt końcowy AJAX save-megamenu-settings nie egzekwuje uprawnień edycji na poziomie elementu menu ani menu. Uwierzytelniony użytkownik może modyfikować parametry układu dowolnych elementów menu bez odpowiednich uprawnień.
- CVE-2026-78075Średnie
W rozszerzeniu Helix Ultimate dla Joomla (wersje < 2.2.10) wykryto podatność na naruszenie autoryzacji na poziomie obiektu w usuwaniu obrazów bloga. Funkcja Blog::remove_image() sprawdza uprawnienia do edycji artykułu, ale nie weryfikuje, czy ścieżka obrazu (src) należy do tego artykułu. W wersjach Joomla 3, gdzie usuwanie plików jest fizyczne, autor może usunąć dowolne pliki w katalogu /images/.
- CVE-2026-57830Krytyczne
Rozszerzenie Joomla Helix Ultimate w wersji poniżej 2.2.7 zawiera podatność na nieuwierzytelnione usuwanie dowolnych plików. Atakujący bez logowania może usunąć dowolny plik na serwerze.
- CVE-2026-57829Średnie
Rozszerzenie Joomla Helix Ultimate w wersjach poniżej 2.2.7 jest podatne na nieuwierzytelnione trwałe XSS. Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - joomshaper.com - Privileged File Upload Bypass via Content Spoofing in Helix Ultimate < 2.2.10 - Image uploads previously validated only file extension and basic size parameters. Non-image files disguised with raster extensions could be uploaded. Added strict MIME verification and GD binary raster decoding (imagecreatefromstring) to reject invalid/malformed images fail-closed.