CVE-2026-92227
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W Joomla! Core w wersjach 4.0.0-5.4.8 oraz 6.0.0-6.1.3 występuje podatność obejścia uwierzytelniania MFA przez przedwczesne wydanie ciasteczka rememberme. To pozwala na ominięcie wymogu wieloskładnikowego uwierzytelniania.
Ocena ryzyka
Atakujący, który zdobędzie ciasteczko rememberme, może ominąć MFA i uzyskać nieautoryzowany dostęp do konta, co może prowadzić do przejęcia konta i naruszenia danych.
Rekomendacja
Zaleca się aktualizację Joomla! do wersji z poprawką. Należy również rozważyć unieważnienie wszystkich istniejących ciasteczek rememberme i wymuszenie ponownego logowania z MFA.
Inne podatności w Joomla!
Zobacz wszystkie- CVE-2016-8870Wysokie
Metoda rejestracji w klasie UsersModelRegistration w Joomla! przed wersją 3.6.4, gdy rejestracja została wyłączona, umożliwia zdalnym atakującym tworzenie kont użytkowników z powodu braku weryfikacji ustawienia konfiguracyjnego 'Zezwól na rejestrację użytkowników'.
- CVE-2015-8769Wysokie
W Joomla! 3.x przed wersją 3.4.7 występuje podatność na wstrzykiwanie SQL, która pozwala atakującym na wykonywanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
- CVE-2015-8565Wysokie
W Joomla! w wersjach od 3.2.0 do 3.4.x przed 3.4.6 występuje podatność na przejście do katalogu, która pozwala zdalnym atakującym na uzyskanie nieokreślonego wpływu za pomocą nieznanych wektorów.
- CVE-2015-8564Wysokie
Podatność na przejście do katalogu w Joomla! 3.4.x przed wersją 3.4.6 umożliwia zdalnym atakującym uzyskanie nieokreślonego wpływu poprzez sekwencje przejścia do katalogu w pliku instalacyjnym XML w archiwum pakietu rozszerzenia.
- CVE-2015-8562Wysokie
Joomla! w wersjach 1.5.x, 2.x oraz 3.x przed 3.4.6 umożliwia zdalnym atakującym przeprowadzenie ataków typu PHP object injection oraz wykonanie dowolnego kodu PHP poprzez nagłówek HTTP User-Agent.
- CVE-2015-7297Wysokie
W Joomla! w wersjach 3.2 przed 3.4.4 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez nieokreślone wektory.
- CVE-2014-6632Wysokie
Joomla! w wersjach 2.5.x przed 2.5.25, 3.x przed 3.2.4 oraz 3.3.x przed 3.3.4 umożliwia zdalnym atakującym uwierzytelnienie i obejście zamierzonych ograniczeń dostępu poprzez wykorzystanie uwierzytelniania LDAP.
- CVE-2026-73373Krytyczne
Joomla! Core w wersjach 1.0.0-5.4.7 oraz 6.0.0-6.1.2 ma podatność na nieograniczone przesyłanie plików SHTML. Domyślna lista niebezpiecznych plików nie zawierała plików SHTML, co na serwerach wykonujących te pliki może prowadzić do wykonania kodu.
- CVE-2026-65760Krytyczne
Niewłaściwa kontrola dostępu w rozszerzeniu Easy Store (wersje 1.0.0-2.0.1) dla Joomla umożliwia zalogowanym użytkownikom pobieranie danych zamówień i klientów dowolnego zamówienia w systemie.
- CVE-2026-48904Krytyczne
Podatność w Joomla! związana z nieprawidłową kontrolą dostępu w endpointzie webservice do edycji grup użytkowników (com_users). Umożliwia eskalację uprawnień.
Oryginalny opis (angielski, źródło NVD)
Joomla! Core - [20260914] - Core - MFA Authentication Bypass through rememberme cookies in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3 - The premature issuance of an rememberme cookie leads to a MFA bypass vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS