CVE-2026-102790
WysokieCVSS 8.6Streszczenie
Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność Stored XSS poprzez pole niestandardowe typu URL w wydarzeniu. Problem występuje w wersjach od 3.2.1 do 4.0.16.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaktualizuj iCagenda do wersji nowszej niż 4.0.16.
Inne podatności w iCagenda
Zobacz wszystkie- CVE-2026-102799Średnie
Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność wstrzyknięcia formuły CSV w eksporcie rejestracji. Problem występuje w wersjach od 3.5.0 do 4.0.16.
- CVE-2026-67365Krytyczne
Rozszerzenie Joomla iCagenda w wersjach przed 4.0.0-4.0.11 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL w module mod_icagenda_calendar. Atak jest możliwy przez komponent com_ajax bez wymaganej sesji, tokena czy konta.
- CVE-2026-48939KrytyczneAktywnie exploitowane
Podatność w rozszerzeniu iCagenda dla Joomla umożliwia przesyłanie dowolnych plików w funkcji załączników, co prowadzi do wgrania i wykonania kodu PHP.
- CVE-2026-75948Wysokie
Rozszerzenie Joomla iCagenda w wersjach 4.0.8 do 4.0.12 zawiera uwierzytelnioną podatność na trwały XSS w formularzu 'Submit an Event', gdzie pola 'image' i 'file' są przechowywane bez odpowiedniego escapowania atrybutów HTML.
- CVE-2026-71570Średnie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność na obejście kontroli dostępu (ACL), umożliwiającą wyliczanie profili użytkowników Joomla. Operator backendu z ograniczonym dostępem tylko do komponentu com_icagenda może uzyskać informacje o innych użytkownikach.
- CVE-2026-67366Średnie
Rozszerzenie Joomla iCagenda w wersjach przed 2.0.0-4.0.11 zawiera podatność CSRF na operacjach rejestracji w interfejsie frontend. Wiele operacji zmieniających stan w frontendzie można wywołać bez sprawdzenia tokena CSRF.
- CVE-2026-71571Wysokie
Rozszerzenie Joomla iCagenda (icagenda.com) zawiera podatność na wstrzykiwanie SQL przez nieszczelny filtr numeryczny w wersjach < 2.0.0-4.0.11. Operatorzy backendu z uprawnieniami dostępu do iCagenda mogą wstrzykiwać zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - icagenda.com - Stored XSS via url-type event Custom Field in iCagenda 3.2.1 to 4.0.16
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS