{"id":182238,"date":"2026-06-19T08:48:03","date_gmt":"2026-06-19T06:48:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla"},"modified":"2026-06-19T08:48:03","modified_gmt":"2026-06-19T06:48:03","slug":"ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/ispravlenie-kriticheskoj-uyazvimosti-v-jce-dopolnenii-dlya-cms-joomla","title":{"rendered":"Correzione di una vulnerabilit\u00e0 critica in JCE, un componente per CMS Joomla","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In JCE (Joomla Content Editor), uno dei pi\u00f9 antichi e popolari componenti aggiuntivi nell'ecosistema Joomla, \u00e8 stata risolta una vulnerabilit\u00e0 critica (CVE-2026-48907) che consente di importare il proprio profilo senza autenticazione. Un attaccante pu\u00f2 sfruttare questa vulnerabilit\u00e0 per caricare un profilo che disabilita il controllo dei tipi MIME e consente il caricamento di script PHP sul server. \u00c8 stato registrato un utilizzo della vulnerabilit\u00e0 da parte di malintenzionati per installare webshell, che forniscono accesso remoto al sistema.<\/p>\n
La vulnerabilit\u00e0 \u00e8 stata corretta nella versione JCE 2.9.99.5, seguita da un aggiornamento 2.9.99.6 che migliora la sicurezza. La vulnerabilit\u00e0 interessa tutte le versioni di JCE (da Joomla 3 a Joomla 6). Dopo aver installato l'aggiornamento, \u00e8 necessario verificare che il sistema non sia stato compromesso e che non rimanga un backdoor installato dagli attaccanti. <\/p>\n
\u00c8 possibile controllare la presenza di un profilo spoofing, che di solito ha un nome generato automaticamente privo di senso, nell'interfaccia dell'amministratore nella sezione \u00abComponenti\u00bb \u2014 \u00abEditor JCE\u00bb \u2014 \u00abProfili editor\u00bb . \u00c8 anche necessario assicurarsi che non ci sia autorizzazione al caricamento di file PHP nell'impostazione \u00abEstensioni file consentite\u00bb e controllare i log per eventuali richieste agli url di importazione profili (index.php?option=com_jce&task=profiles.import). La compromissione pu\u00f2 anche essere indicata dalla comparsa sul sito di file .htaccess di terze parti e file con nomi tipici di CMS WordPress, anzich\u00e9 Joomla, come wp-config.php e wp-cron.php. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"