CVE-2026-90907
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W Joomla! Core kontroler profile.save nie sprawdzał stanu zalogowania użytkownika, co umożliwia tworzenie kont użytkowników na poziomie gościa na stronach bez aktywnej rejestracji użytkowników. Problem dotyczy wersji 1.5.0-5.4.8 oraz 6.0.0-6.1.3.
Ocena ryzyka
Nieuprawniony użytkownik może utworzyć konto na stronie, nawet jeśli rejestracja jest wyłączona, co może prowadzić do nieautoryzowanego dostępu do zasobów. Może to naruszyć bezpieczeństwo i integralność systemu.
Rekomendacja
Zaktualizuj Joomla! do wersji zawierającej poprawkę (poza zakresem 1.5.0-5.4.8 i 6.0.0-6.1.3). Sprawdź, czy nie powstały nieautoryzowane konta użytkowników.
Inne podatności w Joomla! Core
Zobacz wszystkie- CVE-2026-92223Niskie
W Joomla! Core występuje nieprawidłowa kontrola uprawnień (ACL) przy zmianach etapu workflow. Nieuprawnieni użytkownicy mogą zmieniać etap workflow dla treści, do których nie mają dostępu. Problem dotyczy wersji 5.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90918Średnie
W Joomla! Core funkcja szablonów wiadomości e-mail nie stosuje mechanizmu escapowania, co prowadzi do wektorów XSS w wielu rozszerzeniach. Problem dotyczy wersji 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90917Średnie
W Joomla! Core występuje nieprawidłowa kontrola uprawnień (ACL) w wynikach dla elementów oznaczonych tagami. Nieuprawnieni użytkownicy mogą przeglądać elementy treści z niedostępnych dla nich kategorii. Problem dotyczy wersji 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90916Niskie
W Joomla! Core występuje nieprawidłowa kontrola uprawnień (ACL) w widoku porównania historii treści. Nieuprawnieni użytkownicy mogą przeglądać niedostępne dla nich treści. Problem dotyczy wersji 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90914Średnie
W Joomla! Core brak escapowania w ogólnych układach wyjściowych multimediów prowadzi do podatności XSS. Problem dotyczy ogólnych układów wyjściowych audio i wideo. Podatność występuje w wersjach 4.0.0-5.4.8 oraz 6.0.0-6.1.3.
- CVE-2026-90906Wysokie
W Joomla! Core brak escapowania w metodzie HTMLHelper::link prowadzi do podatności XSS. Problem dotyczy wersji 1.5.0-5.4.8 oraz 6.0.0-6.1.3.
Oryginalny opis (angielski, źródło NVD)
Joomla! Core - [20260902] - Core - Unauthorized user account creation via profile.save controller in Joomla 1.5.0-5.4.8, 6.0.0-6.1.3 - The profile.save controller did not check the login state of a user, allowing the creation of guest-level users on sites without active user registration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS