Widget Factory Joomla Content Editor Improper Access Control Vulnerability

A vulnerability in the JCE editor extension for Joomla allows the creation of new editor profiles for unauthenticated users, ultimately resulting in PHP code upload and execution.

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Widget Factory Joomla Content Editor ausnutzen, um beliebigen Programmcode auszuführen.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 10 Jun 2026, published on 10 June 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

Kritikus

Questo CSIRT ha recentemente registrato, nel contesto nazionale, un aumento significativo di sfruttamenti attivi della CVE-2026-48907 – già sanata dal vendor e trattata nell’ambito dell’ AL02/260615/CSIRT-ITA – ai danni di server web esposti. Tale vulnerabilità interessa il plugin Joomla Content Editor (JCE), estensione per il noto Content Management System (CMS) Joomla!. L’analisi degli incidenti osservati evidenzia come, nella quasi totalità dei casi, lo sfruttamento della CVE-2026-48907 risulti finalizzato alla distribuzione di webshell, successivamente utilizzate per attività di defacement dei siti web compromessi. Dettagli inerenti alla vulnerabilità sfruttata Le evidenze raccolte indicano che gli attacchi osservati hanno visto lo sfruttamento della vulnerabilità CVE-2026-48907 – di tipo “ Improper Access Control ” e con score CVSS v4.0 pari a 10 – presente nell’endpoint / index.php?option=com_jce&task=profiles.import e dovuta a controlli di accesso non adeguati relativi alla funzionalità di importazione dei profili editor. In particolare, durante il processo di importazione: vengono effettuati controlli insufficienti sui file caricati; è possibile aggirare le restrizioni sui tipi di file; il componente consente il salvataggio di contenuti PHP in directory accessibili dal web. Un attaccante non autenticato può sfruttare tale vulnerabilità per creare nuovi profili JCE non autorizzati e abilitare il caricamento di file PHP opportunamente predisposti, ottenendo, potenzialmente, l’esecuzione di codice arbitrario sul server interessato . Distribuzione webshell e persistenza Lo sfruttamento in oggetto risulterebbe perpetrato al fine di installare plugin malevoli (aventi la capacità di apparire come normali estensioni di sistema Joomla) che hanno lo scopo di garantire all'attaccante un uploader persistente. Dopo l'installazione del plugin, Joomla esegue automaticamente la funzione postflight() , la quale decodifica il payload dell’attaccante e copia una webshell PHP in più percorsi del web server (probabilmente allo scopo di aumentare la resilienza): /about.php /images/about.php /media/about.php /templates/about.php /tmp/about.php Dettagli inerenti alla webshell utilizzata Si tratta una webshell minimale di tipo file uploader. Non contiene funzionalità di command execution, ma permette a un attaccante di caricare arbitrariamente file sul server. Le funzionalità incluse nella webshell sono le seguenti: Fingerprinting del sistema : tramite la funzione php_uname() , che consente all'attaccante di identificare Sistema operativo, Kernel, Architettura CPU e Hostname; Interfaccia di upload HTML : presenta un semplice form web per selezionare un file; Upload arbitrario di file : tramite la funzione copy() , che consente il caricamento di ulteriori file malevoli. Attività di defacement rilevate sul territorio nazionale L’impianto della webshell è stato sfruttato per portare a compimento attività di defacement ai danni di organizzazioni localizzate sul territorio nazionale. Di seguito, un’immagine esemplificativa di come si presentavano le pagine defacciate: Figura 1- Ricostruzione grafica rappresentativa delle attività di defacement osservate Criticità e superficie di esposizione Il caso trattato sottolinea, ancora una volta, quanto sia rischioso esporre servizi applicativi su Internet senza garantire un’adeguata protezione tramite misure di sicurezza e aggiornamenti costanti. Sistemi accessibili pubblicamente, ove non correttamente configurati o mantenuti, costituiscono infatti un vettore privilegiato per gli attaccanti, che possono sfruttare vulnerabilità note, configurazioni errate o di default per ottenere un punto di accesso nella rete dell’organizzazione. Figura 2-Esposizione nazionale di istanze Joomla! con plugin JCE L'analisi del contesto italiano (Figura 2) evidenzia una presenza non trascurabile di istanze Joomla!, che integrano il plugin Joomla Content Editor (JCE), accessibili da rete pubblica. Tale scenario delinea una superficie di esposizione che, nell'attuale ecosistema digitale, suggerisce un'attenzione costante alle configurazioni di sicurezza e un monitoraggio puntuale dei sistemi, al fine di favorire la resilienza degli asset interessati rispetto alle dinamiche evolutive delle minacce informatiche.

Torna l’appuntamento mensile di CSIRT Italia sull’analisi e l’andamento della minaccia cyber con l’elenco delle vulnerabilità informatiche più gravi.

Torna l’appuntamento mensile di CSIRT Italia sull’analisi e l’andamento della minaccia cyber con l’elenco delle vulnerabilità informatiche più gravi.

JoomlaのJCEエディター拡張機能に存在する脆弱性により、認証されていないユーザーが新しいエディタープロファイルを作成でき、最終的にPHPコードをアップロードして実行できます。

Widget Factory Joomla Content Editor Improper Access Control Vulnerability