A JCE (Joomla Content Editor), az egyik legrégebbi és legnépszerűbb kiegészítő a Joomla ökoszisztémában, egy kritikus sebezhetőséget (CVE-2026-48907) szüntetett meg, amely lehetővé teszi a felhasználóprofilt bejelentkezés nélkül importálni. A támadó a sebezhetőséget kihasználva egy olyan profilt helyezhet el, amely letiltja a MIME-típusok ellenőrzését, és PHP-skriptek feltöltését valósít meg a szerverre. A sebezhetőséget már észlelték rosszindulatú felhasználók, akik webshellt telepítettek, lehetővé téve ezzel a távoli hozzáférést a rendszerhez.
A sebezhetőséget a JCE 2.9.99.5-ös verziójában szüntették meg, ezt követően pedig egy védelmi javítást hoztak ki a 2.9.99.6-os verzióban. A sebezhetőség a JCE bármely verzióját érinti (Joomla 3-tól Joomla 6-ig). A frissítés telepítése után győződjünk meg arról, hogy a rendszer nem volt kompromittálva, és hogy nem maradt hátra támadók által telepített hátsó ajtó.
A hamisított profilt, amely általában jelentéktelenül automatikusan generált névvel rendelkezik, az adminisztrátori felületen az "Összetevők" — "JCE Szerkesztő" — "Szerkesztői profilok" szekcióban ellenőrizhetjük. Emellett győződjünk meg arról is, hogy a "Megengedett fájlformátumok" paraméterben nincs lehetőség PHP-fájlok feltöltésére, és vizsgáljuk át a naplókat a profiliból való importálás URL-jére vonatkozó kérések keresésére (index.php?option=com_jce&task=profiles.import). A kompromittálást jelezheti továbbá, ha a weboldalon idegen .htaccess fájlok vagy, a Joomla helyett, tipikus WordPress nevekkel rendelkező fájlok, például wp-config.php és wp-cron.php jelennek meg.
Forrás: opennet.ru
