Joomla! CMS 5.4.9-es és 6.1.4-es biztonsági frissítése tíz hibát javít, köztük MFA-megkerülést, SSRF-et és XSS-t

Mi történt

A Joomla! biztonsági közleményt adott ki, amely tíz sérülékenységet ismertet a Joomla! CMS-ben. A legjelentősebb a CVE-2026-92227, egy hitelesítési hiba, amelynek során a rendszer idő előtt kiadja a „remember-me” sütit. Ez az érintett bejelentkezési folyamatok esetén lehetővé teheti a többtényezős hitelesítés megkerülését, ami gyengíti a fiókok integritását.

A CVE-2026-92222 egy szerveroldali kéréshamisítás (SSRF) az alapvető kiterjesztésekben: egy magas jogosultságú felhasználó elérheti, hogy a szerver belső vagy nem megbízható URL-ekre küldjön kéréseket, mert a szerveroldali kérések ellenőrzése nem volt megfelelő. A frissítés több hozzáférés-vezérlési hibát is javít. A CVE-2026-90913 és a CVE-2026-92226 révén jogosulatlan felhasználók webszolgáltatás-végpontokon keresztül módosítási vagy szerkesztési műveleteket hajthatnak végre. A CVE-2026-90917 révén jogosulatlan felhasználók olyan kategóriákból tekinthetnek meg címkézett tartalmakat, amelyekhez nincs hozzáférésük. A CVE-2026-90907 lehetővé teszi vendégszintű felhasználói fiókok létrehozását olyan webhelyeken, ahol a felhasználói regisztráció le van tiltva. A CVE-2026-90915 egy gyorsítótár-ürítési path traversal révén tetszőleges könyvtárak törlését teszi lehetővé.

Három cross-site scripting (XSS) hibát javítottak: egy InputFilter HTML5-entitás-dekódolási eltérést (CVE-2026-92231), egy InputFilter-megkerülést, amely HTML data URI-kban elhelyezett szóközökkel kerüli meg az InputFiltert (CVE-2026-92232), valamint a HTML-levélsablonok hiányzó escape-elését (CVE-2026-90918). Nem érkezett bejelentés arról, és nyilvánosságra sem hozták, hogy ezeket a hibákat kihasználták volna; ezek egyike sem szerepel a CISA KEV-katalógusában.

Kit érint

A hibák többsége a Joomla! CMS 4.0.0–5.4.8 és 6.0.0–6.1.3 verzióit érinti. Ezenkívül a CVE-2026-92231, a CVE-2026-92232 és a CVE-2026-90907 az 1.5.0-s verziótól kezdődően a régebbi kiadásokat is érintik. A Joomla! Framework Filter csomag 1.0.0–3.0.6 és 4.0.0–4.1.0 verzióját a CVE-2026-92231 és a CVE-2026-92232 szintén érinti. A Joomla! jellemzően nyilvános webhelyeket, portálokat és intranetes tartalmakat szolgál ki; ha ezek bármelyikét üzemelteti, ellenőrizze pontosan, melyik ágat és verziót használja.

Mit kell most tenni

1. Frissítse a Joomla! CMS-t 5.4.9-re, ha 5.x kiadást használ, vagy 6.1.4-re, ha 6.x kiadást használ. Ezek a gyártó által kiadott javított verziók, és a jelen biztonsági közleményben szereplő mind a tíz CVE-t javítják.
2. Ha a Joomla! Framework Filter csomag 1.0.0–3.0.6 vagy 4.0.0–4.1.0 verzióját futtatja, ehhez a biztonsági közleményben nem tettek közzé javított kiadást. Korlátozza a használatát, és kísérje figyelemmel a gyártó későbbi tájékoztatását.
3. Frissítés előtt készítsen biztonsági mentést a fájlokról és az adatbázisról, és ha teheti, teszteljen nem éles környezetben.
4. Ha az azonnali frissítés nem lehetséges, korlátozza a hálózati hozzáférést az adminisztrációs és webszolgáltatás-végpontokhoz, és figyelje az adminisztratív változtatásokat. A Joomla! ezekhez a hibákhoz nem tett közzé kerülő megoldást.

A javításon túl

Ez a csomag azt mutatja, hogy egyetlen CMS-frissítés is tartalmazhat hitelesítési, injekciós és hozzáférés-vezérlési hiányosságokat, amelyek egy támadás különböző szakaszaiban jelentenek kockázatot. A frissítés telepítése után a Bevezetési és felmérési szolgáltatások ellenőrizheti, hogy a Joomla!-telepítések és a kapcsolódó kiterjesztések védettek-e ezekkel a hibatípusokkal szemben, a Menedzselt kiberbiztonsági felügyelet pedig figyelheti a hitelesítő adatokkal való visszaélést és a jogosulatlan adminisztratív változtatásokat.