Joomla: Mehrere Schwachstellen
WID-SEC-2026-1688 · première publication 27.05.2026 · mise à jour 09.07.2026 · CVSS 7,2
De quoi il s’agit
Joomla ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Joomla ausnutzen, um Angriffe wie Cross-Site Scripting (XSS), SQL-Injection, Privilegienerweiterung, Umgehung der Authentifizierung, Path Traversal, Local File Inclusion (LFI) und unbefugten Zugriff durchzuführen.
Dans quelles conditions ?
Par le réseau, mais uniquement avec un accès valide (authentification requise), par exemple avec des identifiants volés ou en interne.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Angriffe wie Cross-Site Scripting (XSS)
- SQL-Injection
- Privilegienerweiterung
- Umgehung der Authentifizierung
- Path Traversal
- Local File Inclusion (LFI)
- unbefugten Zugriff durchzuführen
Suis-je concerné ?
Concernés selon le BSI :
- Open Source Joomla <5.4.6
- Open Source Joomla <6.1.1
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source Joomla 5.4.6
- Open Source Joomla 6.1.1
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Joomla 6.1.1 & 5.4.6 Security & Bugfix Release vom 2026-05-26 www.joomla.org
- Joomla Security Advisory 20260501 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260502 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260503 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260504 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260505 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260506 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260507 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260508 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260509 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260510 vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260511 - Core - MFA Authentication Bypass vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260512 - Core - MFA Authentication Bypass vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260513 - Core - Privilege escalation through com_users batch task vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260515 - Core - Incorrect Access Control in sample data plugins vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260516 - Core - Incorrect Access Control in com_scheduler vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260517 - Core - Incorrect Cache Key Construction for InputFilter objects vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260518 - Core - Transport encryption downgrade for password and username reset links vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260519 - Framework - Inadequate content filtering within the checkAttribute filter code vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260514 - Core - Privilege escalation through com_users webservice endpoints vom 2026-05-26 developer.joomla.org
- Joomla Security Advisory 20260520 - Framework - Inadequate content filtering within the cleanAttributes filter code vom 2026-05-26 developer.joomla.org
- Joomla Exploits vom 2026-07-08 github.com
CVE: CVE-2026-25900, CVE-2026-25901, CVE-2026-30894, CVE-2026-30895, CVE-2026-35220, CVE-2026-35221, CVE-2026-35222, CVE-2026-35223, CVE-2026-40383, CVE-2026-40384, CVE-2026-48896, CVE-2026-48897, CVE-2026-48898, CVE-2026-48899, CVE-2026-48900, CVE-2026-48901, CVE-2026-48902, CVE-2026-48903, CVE-2026-48904, CVE-2026-48905
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.