AcyMailing: ευπάθεια SQL injection χωρίς έλεγχο ταυτότητας

Με μια ματιά

Περί τίνος πρόκειται;

Το AcyMailing (com_acym) διαχειρίζεται newsletter και καμπάνιες email στο Joomla. Ένα δημόσια προσβάσιμο – δηλαδή χωρίς καμία σύνδεση – endpoint στο front-end ενσωμάτωνε τις παραμέτρους που δεχόταν χωρίς φιλτράρισμα σε ένα ερώτημα SQL, με αποτέλεσμα το ερώτημα να μπορεί να παραποιηθεί (SQL injection).

Με αυτόν τον τρόπο, ένας επιτιθέμενος μπορεί να διαβάσει οποιονδήποτε πίνακα της βάσης δεδομένων – για παράδειγμα τον πίνακα χρηστών με τα ονόματα σύνδεσης και τους (κατακερματισμένους) κωδικούς πρόσβασης, αλλά και άρθρα ή εσωτερικά δεδομένα διαμόρφωσης. Πρόκειται για πρόσβαση μόνο ανάγνωσης, η οποία ωστόσο εκθέτει ευαίσθητα δεδομένα και προετοιμάζει το έδαφος για περαιτέρω επιθέσεις – όπως το σπάσιμο των hashes των κωδικών πρόσβασης.

Ευάλωτες είναι οι εκδόσεις 6.0.0 έως και 10.11.0. Η διόρθωση διατίθεται από τις 9 Ιουλίου 2026 ως έκδοση 10.11.1. Η ευπάθεια καταγράφεται με το αναγνωριστικό CVE-2026-56292.

Επηρεάζεται ο ιστότοπός μου; – Πώς θα το ελέγξετε

1. Ανοίξτε το διαχειριστικό

   Συνδεθείτε στην περιοχή διαχείρισης του Joomla.

2. Ελέγξτε την έκδοση

   Στο Επεκτάσεις›Διαχείριση›Διαχείριση φιλτράρετε με τον όρο AcyMailing και δείτε τον αριθμό έκδοσης.

3. Αξιολογήστε την έκδοση

   Αν η έκδοση βρίσκεται μεταξύ 6.0.0 και 10.11.0, απαιτείται ενέργεια. Ασφαλής είναι η 10.11.1 ή νεότερη.

4. Εκτιμήστε τον κίνδυνο

   Η ανάγνωση δεδομένων αφήνει ελάχιστα ορατά ίχνη. Αν ο ιστότοπος έμεινε για μεγάλο διάστημα χωρίς τη διόρθωση, θεωρήστε ότι τα hashes των κωδικών πρόσβασης ενδέχεται να έχουν διαρρεύσει.

Πώς θα κλείσετε την ευπάθεια

1. Ανοίξτε το κέντρο ενημερώσεων

   Μεταβείτε στο Σύστημα›Ενημέρωση›Επεκτάσεις και πατήστε Έλεγχος για Ενημερώσεις.

2. Ενημερώστε το AcyMailing

   Επιλέξτε την καταχώριση του AcyMailing και ενημερώστε σε 10.11.1 ή νεότερη έκδοση.

3. Επαληθεύστε την έκδοση

   Στη συνέχεια βεβαιωθείτε ότι η νέα έκδοση εγκαταστάθηκε πράγματι.

Επίσημη πηγή λήψης: via AcyMailing. Βεβαιωθείτε ότι έχετε τουλάχιστον την έκδοση AcyMailing 10.11.1 ή νεότερη.

Έχει ήδη δεχθεί επίθεση ο ιστότοπος;

Χρειάζεστε βοήθεια με τον καθαρισμό; Βρείτε εξειδικευμένους επαγγελματίες στον Κατάλογο Παρόχων Υπηρεσιών Joomla.

Πηγές & χρήσιμοι σύνδεσμοι

• Αρχική ανακοίνωση – mySites.guruAdvisory με τεχνικές λεπτομέρειες
• AcyMailing / Acyba (κατασκευαστής)Λήψη της ενημέρωσης μέσω του updater του Joomla ή του λογαριασμού σας στο AcyMailing
• CVE-2026-56292 (CVE.org)Επίσημη καταχώριση CVE
• Joomla Vulnerable Extensions List (VEL)Λίστα ευάλωτων επεκτάσεων που τηρεί η κοινότητα

Υπερισχύουν πάντα τα επίσημα στοιχεία του εκάστοτε κατασκευαστή. Η σελίδα αυτή συνοψίζει ουδέτερα τις δημόσια διαθέσιμες πληροφορίες.

Παρόμοιες ευπάθειες

Άλλες επεκτάσεις με παρόμοιες αδυναμίες ασφαλείας. Ελέγξτε αν κάποια από αυτές είναι εγκατεστημένη στον ιστότοπό σας.

Υποστηρικτές αυτού του ιστότοπου

Το htprotect.org είναι μια δωρεάν, ανεξάρτητη από κατασκευαστές ενημερωτική υπηρεσία. Υποστηρίζεται από:

Πάροχος φιλοξενίας & κοινότητα

FC-Hosting

Πάροχος φιλοξενίας Joomla από τη Γερμανία με ενεργή υποστήριξη από την κοινότητα – εντόπισε την πρώτη επίθεση στην ευπάθεια του JCE.

fc-hosting.de

Εμπνευστής & διαχειριστής

Website-Bereinigung.de

Εξειδικεύεται στον καθαρισμό, τη συντήρηση και τη θωράκιση ιστότοπων Joomla και WordPress.

website-bereinigung.de

Bauschild & Service

Κατασκευή και τοποθέτηση εργοταξιακών πινακίδων, περιφράξεων εργοταξίου και λύσεων πρόσοψης – μαζί με σχεδιασμό και τρισδιάστατη απεικόνιση.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Επαγγελματική υποστήριξη IT από την Τσεχία – διαχείριση Windows, διαχείριση domain και φιλοξενία ιστοσελίδων.

defendersoft.cz

onlineweg.de

Ταξιδιωτική πύλη από τη Γερμανία – οργανωμένα ταξίδια, ξενοδοχεία και αεροπορικά εισιτήρια online, με προσωπική εξυπηρέτηση ταξιδιωτικού γραφείου.

onlineweg.de

Criadero

Δημιουργικό γραφείο από το Βρανδεμβούργο – σχεδιασμός ιστοσελίδων, έντυπα, φωτογραφία και πανοράματα 360°, όλα από έναν συνεργάτη.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Πάροχος υπηρεσιών IT από το Wächtersbach – ιστοσελίδες Joomla, τεχνική υποστήριξη υπολογιστών, hardware και software.

jahnedv.de

IsariConsult

Συμβουλευτική για την ασφάλεια πληροφοριών από το Βερολίνο – αναλύσεις ασφαλείας, διαχείριση κινδύνων και ISO 27001 για μικρομεσαίες επιχειρήσεις.

isari-consult.de

Schippelbein Mediengestaltung

Σχεδιασμός μέσων από το Friedrichshafen – ιστότοποι με Joomla και WordPress, ηλεκτρονικά καταστήματα, γραφικά και 3D.

schippelbein.com