CVE-2026-48943
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 — wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność w systemie K2 (wersja ≤ 2.24) umożliwia atak typu mass-assignment w wtyczce użytkownika `plg_user_k2`. Zarejestrowany użytkownik Joomla może, dodając pole `K2UserForm=1` do standardowego żądania POST `com_users` `profile.save`, zapisać dowolne wartości w kolumnach `notes`, `image` i `plugins` swojego wiersza w tabeli `#__k2_users`, które nie są dostępne w formularzu edycji profilu K2.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej modyfikacji danych użytkownika w tabeli K2, co może prowadzić do eskalacji uprawnień, wstrzykiwania złośliwych treści lub naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu K2 do wersji nowszej niż 2.24, która zawiera poprawkę eliminującą podatność mass-assignment. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć wtyczkę `plg_user_k2`.
Oryginalny opis (angielski, źródło NVD)
K2 ≤ 2.24 contains a mass-assignment defect in the K2 system user plugin `plg_user_k2`. A Registered Joomla user, by including the field `K2UserForm=1` in a standard `com_users` `profile.save` POST, can write arbitrary values into the `notes`, `image`, and `plugins` columns of their own row in the `#__k2_users` table — none of which are exposed by the K2 frontend profile-edit form.