{"id":182238,"date":"2026-06-19T08:48:03","date_gmt":"2026-06-19T06:48:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla"},"modified":"2026-06-19T08:48:03","modified_gmt":"2026-06-19T06:48:03","slug":"ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","title":{"rendered":"Behebung einer kritischen Sicherheitsanf\u00e4lligkeit in JCE, einem Plugin f\u00fcr CMS Joomla.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im JCE (Joomla Content Editor), einer der \u00e4ltesten und beliebtesten Erweiterungen im Joomla-\u00d6kosystem, wurde eine kritische Sicherheitsl\u00fccke (CVE-2026-48907) behoben, die das Importieren von Profilen ohne Authentifizierung erm\u00f6glicht. Angreifer k\u00f6nnen diese Schwachstelle ausnutzen, um ein Profil zu platzieren, das die \u00dcberpr\u00fcfung der MIME-Typen deaktiviert und das Hochladen von PHP-Skripten auf den Server erm\u00f6glicht. Es wurde dokumentiert, dass Angreifer diese Schwachstelle genutzt haben, um einen Webshell zu installieren, der einen Remote-Zugriff auf das System bereitstellt.<\/p>\n
Die Sicherheitsl\u00fccke wurde in der Version JCE 2.9.99.5 behoben, gefolgt von einem Update auf 2.9.99.6, das den Schutz verst\u00e4rkt. Die Schwachstelle betrifft alle Versionen von JCE (von Joomla 3 bis Joomla 6). Nach der Installation des Updates sollte sichergestellt werden, dass das System nicht kompromittiert wurde und dass kein von Angreifern installierter Backdoor verbleibt. <\/p>\n
Um das Vorhandensein eines gef\u00e4lschten Profils zu \u00fcberpr\u00fcfen, das in der Regel einen sinnlosen, automatisch generierten Namen hat, kann dies im Administrationsbereich im Abschnitt \u201eKomponenten\u201c \u2014 \u201eJCE-Editor\u201c \u2014 \u201eEditorprofile\u201c erfolgen. Au\u00dferdem sollte sichergestellt werden, dass keine Erlaubnis zum Hochladen von PHP-Dateien in der Option \u201eErlaubte Dateierweiterungen\u201c besteht, und die Protokolle sollten auf Anfragen an die URL zum Import der Profile (index.php?option=com_jce&task=profiles.import) \u00fcberpr\u00fcft werden. Ein Hinweis auf eine Kompromittierung kann auch das Auftreten von fremden .htaccess-Dateien und Dateien mit Namen sein, die typisch f\u00fcr CMS WordPress sind, jedoch nicht f\u00fcr Joomla, wie wp-config.php und wp-cron.php. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"