CVE-2026-102427
Beschreibung
Joomla Extension - ordasoft.com - Unauthenticated Remote Code Execution in OrdaSoft Joomla CCK < 8.3.16 - site/uploader.php wird über das normale Frontend-Routing der Komponente (task=getContent) erreicht, eine Aufgabe ohne Authentifizierung oder ACL-Prüfung in der Versandkette. Der Handler validiert den Inhalt der hochgeladenen Datei mit einer echten Magic-Byte-MIME-Prüfung, aber die Erweiterungszulassungsliste, die sonst die Erweiterung der gespeicherten Datei einschränken würde, war in der Quelle vorhanden und kommentiert. Die Erweiterung der gespeicherten Datei wurde direkt vom vom Angreifer gelieferten Dateinamen ohne Validierung übernommen und die Datei wurde auf einen Pfad direkt unter dem Joomla-Web-Root geschrieben, der vom PHP-Handler ausgeführt wird. Ein Bild-/PHP-Polyglott, eine Datei, deren Header-Bytes die MIME-Prüfung mit der angehängten PHP-Quelle erfüllen, hat die Inhaltsprüfung bestanden, während eine .php-Erweiterung nach Wahl des Angreifers durchgeführt wurde.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Joomla! Project joomla cck.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.