U JCE-u (Joomla Content Editor), jednom od najstarijih i najpopularnijih proširenja u ekosustavu Joomla, otklonjena je kritična ranjivost (CVE-2026-48907) koja omogućava uvoz vlastitog profila bez autentifikacije. Napadač može iskoristiti ranjivost za postavljanje profila koji onemogućava provjeru MIME tipova i omogućava učitavanje PHP skripti na poslužitelj. Zabilježena su korištenja ove ranjivosti od strane napadača za instalaciju webshell-a, koji omogućava daljinski pristup sustavu.
Ranjivost je otklonjena u izdanju JCE 2.9.99.5, nakon čega je objavljeno ažuriranje 2.9.99.6 s dodatnom zaštitom. Ranjivost se odnosi na sve verzije JCE-a (od Joomla 3 do Joomla 6). Nakon instalacije ažuriranja, važno je provjeriti je li sustav kompromitiran i da ne ostaje instalirani backdoor od strane napadača.
Provjeru postavljenog profila, koji obično ima besmisleno automatski generirano ime, možete izvršiti u sučelju administratora u sekciji 'Komponente' — 'Urednik JCE' — 'Profili urednika'. Također, važno je provjeriti da nema dopuštenja za učitavanje PHP datoteka u parametru 'Dopuštene ekstenzije datoteka' i pregledati logove na prisutnost zahteva prema URL-u za uvoz profila (index.php?option=com_jce&task=profiles.import). O kompromitaciji može također svjedočiti i pojava stranih .htaccess datoteka i datoteka s nazivima karakterističnim za CMS WordPress, a ne Joomla, kao što su wp-config.php i wp-cron.php.
Izvor: opennet.ru
