Joomla: Mehrere Schwachstellen
WID-SEC-2026-1688 · primera publicación 27.05.2026 · actualizado 09.07.2026 · CVSS 7,2
De qué se trata
Joomla ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Joomla ausnutzen, um Angriffe wie Cross-Site Scripting (XSS), SQL-Injection, Privilegienerweiterung, Umgehung der Authentifizierung, Path Traversal, Local File Inclusion (LFI) und unbefugten Zugriff durchzuführen.
¿En qué condiciones?
A través de la red, pero solo con un acceso válido (requiere iniciar sesión), por ejemplo con credenciales robadas o desde dentro.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Angriffe wie Cross-Site Scripting (XSS)
- SQL-Injection
- Privilegienerweiterung
- Umgehung der Authentifizierung
- Path Traversal
- Local File Inclusion (LFI)
- unbefugten Zugriff durchzuführen
¿Me afecta?
Afectados según el BSI:
- Open Source Joomla <5.4.6
- Open Source Joomla <6.1.1
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Joomla 5.4.6
- Open Source Joomla 6.1.1
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Joomla 6.1.1 & 5.4.6 Security & Bugfix Release vom 2026-05-26 www.joomla.org
- Joomla Security Advisory 20260501 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260502 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260503 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260504 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260505 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260506 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260507 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260508 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260509 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260510 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260511 - Core - MFA Authentication Bypass vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260512 - Core - MFA Authentication Bypass vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260513 - Core - Privilege escalation through com_users batch task vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260515 - Core - Incorrect Access Control in sample data plugins vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260516 - Core - Incorrect Access Control in com_scheduler vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260517 - Core - Incorrect Cache Key Construction for InputFilter objects vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260518 - Core - Transport encryption downgrade for password and username reset links vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260519 - Framework - Inadequate content filtering within the checkAttribute filter code vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260514 - Core - Privilege escalation through com_users webservice endpoints vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260520 - Framework - Inadequate content filtering within the cleanAttributes filter code vom 2026-05-26 developer.joomla.org
- Joomla Exploits vom 2026-07-08 github.com
CVE: CVE-2026-25900, CVE-2026-25901, CVE-2026-30894, CVE-2026-30895, CVE-2026-35220, CVE-2026-35221, CVE-2026-35222, CVE-2026-35223, CVE-2026-40383, CVE-2026-40384, CVE-2026-48896, CVE-2026-48897, CVE-2026-48898, CVE-2026-48899, CVE-2026-48900, CVE-2026-48901, CVE-2026-48902, CVE-2026-48903, CVE-2026-48904, CVE-2026-48905
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.