Ευπάθειες ασφαλείας στο Joomla – τρέχουσες & απλά εξηγημένες

Στο template framework Helix3 της JoomShaper δημοσιοποιήθηκαν αρκετές σοβαρές ευπάθειες στο πρόσθετο AJAX – ανάμεσά τους η εγγραφή και η διαγραφή αρχείων, καθώς και η μεταφόρτωση κώδικα PHP χωρίς σύνδεση. Επηρεάζονται όλες οι εκδόσεις πριν από την 3.1.1· η διόρθωση διατίθεται μέσω του κανονικού updater του Joomla (αυτή τη στιγμή 3.1.2). Προσοχή: το Helix3 δεν ταυτίζεται με το νεότερο Helix Ultimate.

Το template framework Helix Ultimate της JoomShaper εκτελεί έναν AJAX handler ακόμη και για επισκέπτες που δεν έχουν συνδεθεί. Πριν από την έκδοση 2.2.7 αρκετές ενέργειες εκτελούνταν χωρίς κανέναν έλεγχο σύνδεσης ή δικαιωμάτων – το σοβαρότερο είναι η εγγραφή στα μενού, μέσω της οποίας μπορεί να εισαχθεί μόνιμα κακόβουλο script (stored XSS). Υπάρχουν επίσης διαγραφή αρχείων μέσω path traversal, ένα open redirect και μια απροστάτευτη εξαγωγή template. Επηρεάζονται όλες οι εκδόσεις πριν από την 2.2.7· η διόρθωση διατίθεται μέσω του updater του Joomla (αυτή τη στιγμή 2.2.8). Προσοχή: το Helix Ultimate δεν ταυτίζεται με το Helix3.

Στο ευρύτατα διαδεδομένο Astroid Framework μια κρίσιμη ευπάθεια επιτρέπει τη μεταφόρτωση αρχείων χωρίς κανέναν έλεγχο ταυτότητας – και, στη χειρότερη περίπτωση, την εκτέλεση κακόβουλου κώδικα (RCE). Επηρεάζονται οι εκδόσεις 2.0.0 έως 3.3.10· η διόρθωση ήρθε με την 3.3.11, ενώ συνιστάται η 3.3.13 ή νεότερη (CVE-2026-21628). Σε ιστότοπους που έχουν ήδη παραβιαστεί εμφανίζονται συχνά πρόσθετα που έχουν εγκατασταθεί κρυφά, όπως τα «BLPayload» ή «JCachePro».

Το Tassos Framework (πρώην Novarain) βρίσκεται απαρατήρητο μέσα σε πολλές δημοφιλείς επεκτάσεις, όπως το Convert Forms ή το EngageBox. Κλήσεις AJAX χωρίς έλεγχο ταυτότητας επιτρέπουν πρόσβαση σε αρχεία και στη βάση δεδομένων – η ευπάθεια βαθμολογείται ως κρίσιμη με CVSS 9.5 και κυκλοφορεί ήδη δημόσιο εργαλείο exploit (CVE-2026-21627). Αρκεί να ενημερώσετε μία οποιαδήποτε επέκταση Tassos: το framework αναβαθμίζεται αυτόματα σε ασφαλή έκδοση (6.0.62+).

Το JCE είναι ένας από τους πιο διαδεδομένους editor για το Joomla. Ανεπαρκής έλεγχος πρόσβασης επέτρεπε σε επιτιθέμενους χωρίς σύνδεση να ανεβάζουν προφίλ editor και μέσω αυτών οποιαδήποτε αρχεία – η ευπάθεια αξιοποιείται ήδη ενεργά για την τοποθέτηση web shells. Επηρεάζονται όλες οι εκδόσεις πριν από την 2.9.99.5 (Free και Pro), ανεξάρτητα από το αν είναι ενεργοποιημένη η εγγραφή χρηστών. Ασφαλής είναι η 2.9.99.5, ακόμη καλύτερα η επόμενη 2.9.99.6.

Το iCagenda είναι ένα δημοφιλές ημερολόγιο εκδηλώσεων για το Joomla. Στη φόρμα υποβολής εκδηλώσεων έλειπε ουσιαστικός έλεγχος σύνδεσης – έτσι, ακόμη και επιτιθέμενοι χωρίς λογαριασμό μπορούσαν να ανεβάσουν αρχεία, ακόμη και όταν η φόρμα υποτίθεται ότι ήταν διαθέσιμη μόνο σε εγγεγραμμένους χρήστες. Στο Joomla 6 (6.0.0–6.1.1) αυτό μετατρέπεται σε κρίσιμη ευπάθεια μεταφόρτωσης αρχείων (CVE-2026-48939). Επηρεάζονται οι εκδόσεις iCagenda 3.2.1 έως 4.0.7· η διόρθωση ήρθε με την 4.0.8 (στο Joomla 3 με την 3.9.15).

Το SP Page Builder είναι ένας από τους πιο διαδεδομένους page builder για το Joomla. Μια ευπάθεια zero-day στη λειτουργία μεταφόρτωσης προσαρμοσμένων εικονιδίων δεν έλεγχε ούτε τη σύνδεση ούτε τον τύπο αρχείου και επέτρεπε έτσι την εκτέλεση κώδικα (RCE) χωρίς σύνδεση. Επηρεάζεται ολόκληρη η σειρά 6.x έως και την 6.6.1· η έκτακτη ενημέρωση 6.6.2 κλείνει το κενό ασφαλείας. Η ευπάθεια αξιοποιείται ήδη ενεργά και αφήνει πίσω της κρυφούς λογαριασμούς Super User και κερκόπορτες (backdoors).

Το Balbooa Forms είναι ένας διαδεδομένος form builder για το Joomla. Η μεταφόρτωση αρχείων στις φόρμες του δέχεται αρχεία χωρίς καμία σύνδεση – και χωρίς έλεγχο διακριτικού ασφαλείας (token) ή τύπου αρχείου. Έτσι, ένας επιτιθέμενος μπορεί να τοποθετήσει ένα εκτελέσιμο αρχείο PHP σε δημόσια προσβάσιμο φάκελο και να το εκτελέσει (remote code execution). Επηρεάζονται όλες οι εκδόσεις έως την 2.4.0· η ενημέρωση 2.4.1 κλείνει το κενό ασφαλείας (CVE-2026-56291). Η ευπάθεια αξιοποιείται ήδη σε πραγματικές επιθέσεις.

Το AcyMailing είναι ένα ευρέως διαδεδομένο στοιχείο (component) newsletter για το Joomla. Ένα δημόσια προσβάσιμο endpoint στο front end περνούσε παραμέτρους του αιτήματος χωρίς έλεγχο μέσα σε ερώτημα προς τη βάση δεδομένων. Έτσι, ένας επισκέπτης χωρίς σύνδεση μπορούσε να διαβάσει οποιονδήποτε πίνακα – ανάμεσά τους λογαριασμούς χρηστών με hash κωδικών πρόσβασης και περιεχόμενο του ιστότοπου (SQL injection). Επηρεάζονται οι εκδόσεις 6.0.0 έως 10.11.0· η διόρθωση ήρθε με την 10.11.1 (CVE-2026-56292).

Το RSFiles! είναι διαχειριστής αρχείων και λήψεων για το Joomla. Μια λειτουργία μεταφόρτωσης στο front end μπορούσε να ενεργοποιηθεί χωρίς σύνδεση και δεν έλεγχε ούτε διακριτικό ασφαλείας (token) ούτε τον τύπο αρχείου. Έτσι, ένα αρχείο PHP μπορεί να καταλήξει σε δημόσια προσβάσιμο κατάλογο και να εκτελεστεί εκεί (remote code execution). Επηρεάζονται όλες οι εκδόσεις έως την 1.17.11· η ενημέρωση 1.17.12 κλείνει το κενό ασφαλείας.