Joomla: Mehrere Schwachstellen
WID-SEC-2026-3636 · erstmals 30.09.2026 · aktualisiert 30.09.2026 · CVSS 8,0
Worum es geht
Joomla ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in Joomla ausnutzen um Cross-Site-Scripting-Angriffe durchzuführen, Sicherheitsmaßnahmen zu umgehen, sensible Daten offenzulegen oder zu manipulieren und seine Berechtigungen zu erweitern.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source Joomla Core <5.4.9
- Open Source Joomla Core <6.1.4
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Joomla Core 5.4.9
- Open Source Joomla Core 6.1.4
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Joomla Security Centre vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260901 - Core - XSS in HTMLHelper::link method vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260902 - Core - Unauthorized user account creation via profile.save controller vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260903 - Core - Improper ACL checks for access level webservice endpoints vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260904 - Core - XSS in the generic media output layouts vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260905 - Core - Arbitrary directory deletion via cache purge action vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260906 - Core - Improper ACL checks in content history comparison view vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260907 - Core - Improper ACL checks in outputs for tagged items vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260908 - Core - XSS in HTML Mail Templates vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260909 - Core - SSRF vectors in various core extensions vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260910 - Core - Improper ACL checks for workflow stage changes vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260911 - Core - XSS in link toolbar layout vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260912 - Core - XSS in module list vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260913 - Core - Improper ACL checks for various webservice edit tasks vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260914 - Core - MFA Authentication Bypass through rememberme cookies vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260915 - Core - XSS filter bypass in InputFilter via HTML5 entity decode mismatch vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260916 - Core - XSS filter bypass in InputFilter via whitespace characters in HTML data URIs vom 2026-09-29 developer.joomla.org
CVE: CVE-2026-90906, CVE-2026-90907, CVE-2026-90913, CVE-2026-90914, CVE-2026-90915, CVE-2026-90916, CVE-2026-90917, CVE-2026-90918, CVE-2026-92222, CVE-2026-92223, CVE-2026-92224, CVE-2026-92225, CVE-2026-92226, CVE-2026-92227, CVE-2026-92231, CVE-2026-92232
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.