JCE-s (Joomla Content Editor) – üks vanimaid ja populaarsemaid laiendusi Joomla ökosüsteemis – on kõrvaldanud kriitilise haavatavuse (CVE-2026-48907), mis võimaldab importida oma profiili ilma autentimiseta. Ründaja võib seda haavatavust ära kasutada, et installida profiili, mis keelab MIME-tüübi kontrolli ja võimaldab PHP-skriptide laadimist serverisse. On dokumenteeritud haavatavuse kuritarvitamist kurjategijate poolt, kes paigaldavad webshelli, et saada kaugjuurdepääs süsteemile.
Haavatavus on kõrvaldatud JCE 2.9.99.5 versioonis, millele järgnes versiooniuuendus 2.9.99.6 koos tugevdatud kaitsega. Haavatavus mõjutab kõiki JCE versioone (Joomla 3-st kuni Joomla 6-ni). Pärast uuenduse installimist tuleks veenduda, et süsteem ei ole kompromiteeritud ja et kurjategijate paigaldatud tagaukse ei jää.
Valede olemasoleva vale profiili kontrollimist, mis tavaliselt omab mõttetut automaatselt genereeritud nime, saab teha administraatori liideses jaotises „Komponendid” — „JCE Redaktor” — „Redaktori profiilid”. Samuti tuleks veenduda, et PHP-failide üleslaadimise lubamine on keelatud parameetris „Lubatud failide laiendused” ning kontrollida logisid profiilide importimise URL-ide (index.php?option=com_jce&task=profiles.import) päringute osas. Kompromiteerimise näitajaks võivad olla ka kolmanda osapoole .htaccess-failide ja CMS WordPressile iseloomulike failide nagu wp-config.php ja wp-cron.php ilmumine saidile.
Allikas: opennet.ru
