{"id":182238,"date":"2026-06-19T08:48:03","date_gmt":"2026-06-19T06:48:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla"},"modified":"2026-06-19T08:48:03","modified_gmt":"2026-06-19T06:48:03","slug":"ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","title":{"rendered":"Correction d'une vuln\u00e9rabilit\u00e9 critique dans JCE, un compl\u00e9ment pour le CMS Joomla","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans JCE (Joomla Content Editor), l'une des plus anciennes et populaires extensions de l'\u00e9cosyst\u00e8me Joomla, une vuln\u00e9rabilit\u00e9 critique (CVE-2026-48907) a \u00e9t\u00e9 corrig\u00e9e, permettant d'importer son profil sans authentification. Un attaquant peut exploiter cette vuln\u00e9rabilit\u00e9 pour d\u00e9ployer un profil d\u00e9sactivant la v\u00e9rification des types MIME et permettant le t\u00e9l\u00e9chargement de scripts PHP sur le serveur. L'utilisation de cette vuln\u00e9rabilit\u00e9 par des cybercriminels pour installer un webshell, offrant un acc\u00e8s distant au syst\u00e8me, a \u00e9t\u00e9 signal\u00e9e.<\/p>\n
La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans la version JCE 2.9.99.5, suivie d'une mise \u00e0 jour 2.9.99.6 renfor\u00e7ant la s\u00e9curit\u00e9. La vuln\u00e9rabilit\u00e9 touche toutes les versions de JCE (de Joomla 3 \u00e0 Joomla 6). Apr\u00e8s l'installation de la mise \u00e0 jour, il convient de s'assurer que le syst\u00e8me n'a pas \u00e9t\u00e9 compromis et qu'aucun backdoor install\u00e9 par les attaquants n'est pr\u00e9sent. <\/p>\n
Vous pouvez v\u00e9rifier l'existence d'un profil tampons, qui a g\u00e9n\u00e9ralement un nom automatiquement g\u00e9n\u00e9r\u00e9 sans signification, dans l'interface d'administration dans la section \u00ab\u00a0Composants\u00a0\u00bb \u2014 \u00ab\u00a0\u00c9diteur JCE\u00a0\u00bb \u2014 \u00ab\u00a0Profils de l'\u00e9diteur\u00a0\u00bb. Il convient \u00e9galement de v\u00e9rifier qu'il n'y a pas de permission de chargement de fichiers PHP dans le param\u00e8tre \u00ab\u00a0Extensions de fichier autoris\u00e9es\u00a0\u00bb et d'examiner les journaux pour rep\u00e9rer les requ\u00eates aux URL d'importation de profils (index.php?option=com_jce&task=profiles.import). La compromission peut \u00e9galement \u00eatre r\u00e9v\u00e9l\u00e9e par l'apparition de fichiers .htaccess \u00e9trangers sur le site et de fichiers portant des noms typiques des CMS WordPress, et non de Joomla, comme wp-config.php et wp-cron.php. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"