Podatności OrdaSoft Joomla Gallery

W rozszerzeniu OrdaSoft Joomla Gallery dla Joomla w wersjach poniżej 6.2.7 wykryto podatność na wstrzyknięcie SQL z uprawnieniami uwierzytelnionego użytkownika core.manage. Funkcja saveGallery() przekazuje dane formularza przez ręcznie napisany parser do obiektu Input Joomla, a następnie odczytuje je z filtrami ARRAY/STRING, które nie sanityzują treści SQL. Wartości z pól category_names[], catOrderIds i image-ordering są bezpośrednio łączone w zapytania SQL bez cudzysłowów ani rzutowania na liczby całkowite, co daje pełny dostęp do bazy danych, w tym ekstrakcję hashy haseł użytkowników.

W rozszerzeniu OrdaSoft Joomla Gallery dla Joomla w wersjach poniżej 6.2.7 wykryto podatność umożliwiającą zdalne wykonanie kodu przez uwierzytelnionego użytkownika z uprawnieniami core.manage. Funkcja saveWatermark() kopiuje przesłany plik do katalogu dostępnego z sieci, używając dokładnie nazwy podanej przez klienta, bez sprawdzania rozszerzenia, zawartości ani sanityzacji nazwy. Użytkownik może przesłać plik .php z nagłówkiem Content-Type obrazu i wykonać go, żądając ścieżki do pliku.

W rozszerzeniu OrdaSoft Joomla Gallery dla Joomla w wersjach poniżej 6.2.7 wykryto podatność umożliwiającą zdalne wykonanie kodu przez uwierzytelnionego użytkownika z uprawnieniami core.manage. Funkcja updateOSGallery(), osiągalna przez zadanie task=update_osgallery, odczytuje treść JSON i wywołuje wartość pola method jako funkcję PHP, przekazując wartość pola package jako argument, bez żadnych sprawdzeń allow-list ani is_callable(). Można wywołać funkcje takie jak system, exec, shell_exec i passthru.

W rozszerzeniu OrdaSoft Joomla Gallery dla Joomla w wersjach poniżej 6.2.7 wykryto podatność na nieuwierzytelnione wstrzyknięcie SQL. Funkcje showSearchResult() i showSearchResultAjax() odczytują parametr textsearch/searchText za pomocą $input->getVar(), który nie jest prawdziwą metodą filtrowania Joomla i tylko usuwa tagi HTML, ale nie dotyka cudzysłowów ani składni SQL. Wartość jest bezpośrednio łączona w klauzulę LIKE bez escapowania. Endpoint nie wymaga logowania, a moduł wyszukiwania jest publiczny.