Joomla: Mehrere Schwachstellen
WID-SEC-2026-3636 · primera publicación 30.09.2026 · actualizado 30.09.2026 · CVSS 8,0
De qué se trata
Joomla ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in Joomla ausnutzen um Cross-Site-Scripting-Angriffe durchzuführen, Sicherheitsmaßnahmen zu umgehen, sensible Daten offenzulegen oder zu manipulieren und seine Berechtigungen zu erweitern.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
¿Me afecta?
Afectados según el BSI:
- Open Source Joomla Core <5.4.9
- Open Source Joomla Core <6.1.4
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Joomla Core 5.4.9
- Open Source Joomla Core 6.1.4
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Joomla Security Centre vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260901 - Core - XSS in HTMLHelper::link method vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260902 - Core - Unauthorized user account creation via profile.save controller vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260903 - Core - Improper ACL checks for access level webservice endpoints vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260904 - Core - XSS in the generic media output layouts vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260905 - Core - Arbitrary directory deletion via cache purge action vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260906 - Core - Improper ACL checks in content history comparison view vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260907 - Core - Improper ACL checks in outputs for tagged items vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260908 - Core - XSS in HTML Mail Templates vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260909 - Core - SSRF vectors in various core extensions vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260910 - Core - Improper ACL checks for workflow stage changes vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260911 - Core - XSS in link toolbar layout vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260912 - Core - XSS in module list vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260913 - Core - Improper ACL checks for various webservice edit tasks vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260914 - Core - MFA Authentication Bypass through rememberme cookies vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260915 - Core - XSS filter bypass in InputFilter via HTML5 entity decode mismatch vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260916 - Core - XSS filter bypass in InputFilter via whitespace characters in HTML data URIs vom 2026-09-29 developer.joomla.org
CVE: CVE-2026-90906, CVE-2026-90907, CVE-2026-90913, CVE-2026-90914, CVE-2026-90915, CVE-2026-90916, CVE-2026-90917, CVE-2026-90918, CVE-2026-92222, CVE-2026-92223, CVE-2026-92224, CVE-2026-92225, CVE-2026-92226, CVE-2026-92227, CVE-2026-92231, CVE-2026-92232
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.