{"id":182238,"date":"2026-06-19T08:48:03","date_gmt":"2026-06-19T06:48:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla"},"modified":"2026-06-19T08:48:03","modified_gmt":"2026-06-19T06:48:03","slug":"ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","title":{"rendered":"Correcci\u00f3n de una vulnerabilidad cr\u00edtica en JCE, un complemento para CMS Joomla","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En JCE (Joomla Content Editor), una de las extensiones m\u00e1s antiguas y populares en el ecosistema de Joomla, se ha corregido una vulnerabilidad cr\u00edtica (CVE-2026-48907) que permite importar su perfil sin autenticaci\u00f3n. Un atacante puede aprovechar esta vulnerabilidad para cargar un perfil que deshabilita la verificaci\u00f3n de tipos MIME e implementar la carga de scripts PHP en el servidor. Se ha registrado el uso de esta vulnerabilidad por parte de atacantes para instalar webshells, proporcionando acceso remoto al sistema.<\/p>\n
La vulnerabilidad se ha corregido en la versi\u00f3n JCE 2.9.99.5, seguida de una actualizaci\u00f3n 2.9.99.6 que refuerza la seguridad. La vulnerabilidad afecta a todas las versiones de JCE (desde Joomla 3 hasta Joomla 6). Despu\u00e9s de instalar la actualizaci\u00f3n, aseg\u00farese de que el sistema no haya sido comprometido y que no queden puertas traseras instaladas por los atacantes. <\/p>\n
Para verificar la existencia de un perfil de sustituci\u00f3n, que generalmente tiene un nombre autom\u00e1ticamente generado sin sentido, se puede hacer en la interfaz del administrador en la secci\u00f3n \u00abComponentes\u00bb \u2014 \u00abEditor JCE\u00bb \u2014 \u00abPerfiles del editor\u00bb. Tambi\u00e9n se debe asegurar que no haya permisos para cargar archivos PHP en el par\u00e1metro \u00abExtensiones de archivos permitidas\u00bb y revisar los registros en busca de solicitudes a la URL de importaci\u00f3n de perfiles (index.php?option=com_jce&task=profiles.import). La aparici\u00f3n de archivos .htaccess de terceros en el sitio, as\u00ed como archivos con nombres t\u00edpicos de CMS WordPress, en lugar de Joomla, como wp-config.php y wp-cron.php, tambi\u00e9n puede indicar una posible compromisi\u00f3n. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"