CVE-2026-90914
ŚrednieCVSS 5.9Streszczenie
W Joomla! Core brak escapowania w ogólnych układach wyjściowych multimediów prowadzi do podatności XSS. Problem dotyczy ogólnych układów wyjściowych audio i wideo. Podatność występuje w wersjach 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika, potencjalnie prowadząc do kradzieży sesji lub danych. Może to dotyczyć stron z osadzonymi multimediami.
Rekomendacja
Zaktualizuj Joomla! do wersji zawierającej poprawkę (poza zakresem 4.0.0-5.4.8 i 6.0.0-6.1.3). Przejrzyj strony z osadzonymi multimediami pod kątem nietypowych treści.
Inne podatności w Joomla! Core
Zobacz wszystkie- CVE-2026-92223Średnie
W Joomla! Core występuje nieprawidłowa kontrola uprawnień (ACL) przy zmianach etapu workflow. Nieuprawnieni użytkownicy mogą zmieniać etap workflow dla treści, do których nie mają dostępu. Problem dotyczy wersji 5.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90918Średnie
W Joomla! Core funkcja szablonów wiadomości e-mail nie stosuje mechanizmu escapowania, co prowadzi do wektorów XSS w wielu rozszerzeniach. Problem dotyczy wersji 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90917Średnie
W Joomla! Core występuje nieprawidłowa kontrola uprawnień (ACL) w wynikach dla elementów oznaczonych tagami. Nieuprawnieni użytkownicy mogą przeglądać elementy treści z niedostępnych dla nich kategorii. Problem dotyczy wersji 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90916Średnie
W Joomla! Core występuje nieprawidłowa kontrola uprawnień (ACL) w widoku porównania historii treści. Nieuprawnieni użytkownicy mogą przeglądać niedostępne dla nich treści. Problem dotyczy wersji 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90907Średnie
W Joomla! Core kontroler profile.save nie sprawdzał stanu zalogowania użytkownika, co umożliwia tworzenie kont użytkowników na poziomie gościa na stronach bez aktywnej rejestracji użytkowników. Problem dotyczy wersji 1.5.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90906Średnie
W Joomla! Core brak escapowania w metodzie HTMLHelper::link prowadzi do podatności XSS. Problem dotyczy wersji 1.5.0-5.4.8 oraz 6.0.0-6.1.3.
Oryginalny opis (angielski, źródło NVD)
Joomla! Core - [20260904] - Core - XSS in the generic media output layouts in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3 - Lack of escaping leads to an XSS vulnerability in the generic audio and video output layouts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS