Exécution de code à distance affectant JCE pour Joomla
Une vulnérabilité critique affectant JCE pour Joomla permettrait à un acteur malveillant non authentifié de créer un profil d'éditeur lui permettant de téléverser et d'exécuter du code PHP malveillant, conduisant à la compromission du serveur hébergeant l'instance vulnérable.
Description
Contexte technique et détails de la vulnérabilité
JCE (Joomla Content Editor) est un éditeur de contenu avancé intégré à Joomla, qui permet aux utilisateurs de créer, modifier et gérer facilement le contenu d'un site web, notamment les textes, images et fichiers. Cet éditeur est affecté par une vulnérabilité libellée CVE-2026-48907, résultant d'une authentification insuffisante et d'une protection inadaptée contre les attaques CSRF (Cross-Site Request Forgery). Son exploitation permettrait à un attaquant non authentifié de téléverser un fichier XML spécialement conçu contenant du code PHP malveillant afin d'exécuter du code arbitraire à distance sur le serveur affecté. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire ;
- Atteinte à la disponibilité des données ;
- Atteinte à la confidentialité des données ;
- Atteinte à l'intégrité des comptes et des services ;
- Atteinte à l'intégrité de l'interface.
Systèmes affectés
Produits, composants et versions concernés
- Versions de JCE pour Joomla jusqu'à la version 2.9.99.5 incluse.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour JCE pour Joomla vers la version 2.9.99.6 ou supérieure ;
- Vérifier les profils JCE existants et supprimer tout profil inconnu ;
- Désactiver l'exécution PHP dans /tmp/ et dans les répertoires de téléversement, afin de limiter l'impact d'un éventuel dépôt de code malveillant.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.