Dans JCE (Joomla Content Editor), l'une des plus anciennes et populaires extensions de l'écosystÚme Joomla, une vulnérabilité critique (CVE-2026-48907) a été corrigée, permettant d'importer son profil sans authentification. Un attaquant peut exploiter cette vulnérabilité pour déployer un profil désactivant la vérification des types MIME et permettant le téléchargement de scripts PHP sur le serveur. L'utilisation de cette vulnérabilité par des cybercriminels pour installer un webshell, offrant un accÚs distant au systÚme, a été signalée.
La vulnérabilité a été corrigée dans la version JCE 2.9.99.5, suivie d'une mise à jour 2.9.99.6 renforçant la sécurité. La vulnérabilité touche toutes les versions de JCE (de Joomla 3 à Joomla 6). AprÚs l'installation de la mise à jour, il convient de s'assurer que le systÚme n'a pas été compromis et qu'aucun backdoor installé par les attaquants n'est présent.
Pour vĂ©rifier la prĂ©sence d'un profil susmentionnĂ©, qui a gĂ©nĂ©ralement un nom gĂ©nĂ©rĂ© automatiquement et sans sens, vous pouvez le faire dans l'interface administrateur dans la section « Composants » â « Ăditeur JCE » â « Profils de l'Ă©diteur ». Il est Ă©galement conseillĂ© de s'assurer qu'il n'y a pas d'autorisation de tĂ©lĂ©chargement pour les fichiers PHP dans le paramĂštre « Extensions de fichiers autorisĂ©es » et de vĂ©rifier les journaux pour d'Ă©ventuelles requĂȘtes vers l'URL d'importation des profils (index.php?option=com_jce&task=profiles.import). La compromission peut Ă©galement se manifester par l'apparition de fichiers .htaccess tiers et de fichiers portant des noms typiques de CMS WordPress, et non Joomla, tels que wp-config.php et wp-cron.php.
Source : opennet.ru
