Joomla: Mehrere Schwachstellen
WID-SEC-2026-3636 · première publication 30.09.2026 · mise à jour 30.09.2026 · CVSS 8,0
De quoi il s’agit
Joomla ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in Joomla ausnutzen um Cross-Site-Scripting-Angriffe durchzuführen, Sicherheitsmaßnahmen zu umgehen, sensible Daten offenzulegen oder zu manipulieren und seine Berechtigungen zu erweitern.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Suis-je concerné ?
Concernés selon le BSI :
- Open Source Joomla Core <5.4.9
- Open Source Joomla Core <6.1.4
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source Joomla Core 5.4.9
- Open Source Joomla Core 6.1.4
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Joomla Security Centre vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260901 - Core - XSS in HTMLHelper::link method vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260902 - Core - Unauthorized user account creation via profile.save controller vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260903 - Core - Improper ACL checks for access level webservice endpoints vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260904 - Core - XSS in the generic media output layouts vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260905 - Core - Arbitrary directory deletion via cache purge action vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260906 - Core - Improper ACL checks in content history comparison view vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260907 - Core - Improper ACL checks in outputs for tagged items vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260908 - Core - XSS in HTML Mail Templates vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260909 - Core - SSRF vectors in various core extensions vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260910 - Core - Improper ACL checks for workflow stage changes vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260911 - Core - XSS in link toolbar layout vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260912 - Core - XSS in module list vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260913 - Core - Improper ACL checks for various webservice edit tasks vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260914 - Core - MFA Authentication Bypass through rememberme cookies vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260915 - Core - XSS filter bypass in InputFilter via HTML5 entity decode mismatch vom 2026-09-29 developer.joomla.org
- Joomla Security Advisory 20260916 - Core - XSS filter bypass in InputFilter via whitespace characters in HTML data URIs vom 2026-09-29 developer.joomla.org
CVE: CVE-2026-90906, CVE-2026-90907, CVE-2026-90913, CVE-2026-90914, CVE-2026-90915, CVE-2026-90916, CVE-2026-90917, CVE-2026-90918, CVE-2026-92222, CVE-2026-92223, CVE-2026-92224, CVE-2026-92225, CVE-2026-92226, CVE-2026-92227, CVE-2026-92231, CVE-2026-92232
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.