Each flaw with its affected versions, the safe release and a step-by-step guide. The vendor’s own information always takes precedence.
JoomShaperのテンプレートフレームワーク「Helix3」のAJAXプラグインで、複数の深刻な脆弱性が公表されました。ログインしていない状態でもファイルの書き込みや削除ができ、PHPコードのアップロードまで可能です。影響を受けるのは3.1.1より前のすべてのバージョンで、修正版はJoomlaの通常の更新機能から入手できます（現在は3.1.2）。なお、Helix3は新しいHelix Ultimateとは別の製品ですのでご注意ください。
JoomShaper のテンプレートフレームワーク Helix Ultimate は、ログインしていない訪問者に対しても AJAX ハンドラーを実行します。バージョン 2.2.7 より前では、複数のアクションがログインの確認も権限の確認も行わずに動作していました。最も深刻なのはメニューへの書き込みで、悪意のあるスクリプトを恒久的に埋め込めてしまいます（保存型 XSS）。さらに、パストラバーサルによるファイル削除、オープンリダイレクト、無防備なテンプレートのエクスポートもあります。2.2.7 より前のすべてのバージョンが影響を受け、修正版は Joomla のアップデート機能から入手できます（現在は 2.2.8）。なお、Helix Ultimate は Helix3 とは別の製品です。
広く使われているAstroid Frameworkに、ログインなしでファイルをアップロードできてしまう深刻な脆弱性が見つかりました。最悪の場合、サーバー上でコードを実行されます（RCE）。対象となるのは2.0.0～3.3.10のバージョンです。3.3.11で修正されましたが、更新先としては3.3.13以降が推奨されています（CVE-2026-21628）。すでに侵入されたサイトでは、「BLPayload」や「JCachePro」といったプラグインが勝手に追加されている例が多く見られます。
Tassos Framework（旧 Novarain）は、Convert Forms や EngageBox といった人気の拡張機能の内部で、気づかれないまま動き続けています。未認証の AJAX 呼び出しからファイルやデータベースにアクセスされる恐れがあり、深刻度は CVSS 9.5、評価は「重大」です。攻撃ツールもすでに一般に公開されています（CVE-2026-21627）。対処は簡単で、Tassos の拡張機能をいずれか 1 つ更新するだけです。その際にフレームワークも自動的に安全なバージョン（6.0.62 以降）へ引き上げられます。
JCEはJoomlaで最も広く使われているエディターの一つです。アクセス制御の不備により、未認証の攻撃者がエディタープロファイルをアップロードし、それを足がかりに任意のファイルをサーバーへ送り込める状態でした。この脆弱性はすでにWebシェルの設置に悪用されています。影響を受けるのは2.9.99.5より前のすべてのバージョン（FreeおよびPro）で、ユーザー登録が有効かどうかは関係ありません。安全なのは2.9.99.5、さらに推奨されるのは後続の2.9.99.6です。
iCagendaは、Joomlaで広く使われているイベントカレンダーです。イベントを投稿するフォームに実質的なログイン確認がなく、ログインしていない訪問者でもイベントを登録できる状態でした。Joomla 6（6.0.0～6.1.1）では、これが認証不要のファイルアップロードという重大な脆弱性になります（CVE-2026-48939）。影響を受けるのはiCagenda 3.2.1～4.0.7で、4.0.8（Joomla 3では3.9.15）で修正されています。
SP Page BuilderはJoomlaで最も広く使われているページビルダーの一つです。カスタムアイコンのアップロード機能にゼロデイ脆弱性があり、ログインの有無もファイル種別も検証していなかったため、認証なしでコードを実行できる状態でした（RCE）。影響を受けるのは6.6.1までの6.x系すべてで、緊急アップデート6.6.2で修正されます。この脆弱性はすでに実際の攻撃で悪用されており、隠されたスーパーユーザーやバックドアが残されます。
Balbooa Formsは、Joomlaで広く使われているフォーム作成用の拡張機能です。フォームのファイルアップロード機能は、ログインを一切求めず、セキュリティトークンやファイル形式の確認もないままファイルを受け取っていました。これを悪用すると、攻撃者は実行可能なPHPファイルを外部から到達できるフォルダーに置き、そのまま実行できます（リモートコード実行）。影響を受けるのは2.4.0以下のすべてのバージョンで、アップデート2.4.1でこの穴は塞がれます（CVE-2026-56291）。この脆弱性はすでに実際の攻撃で悪用されています。
AcyMailingは、Joomlaで広く使われているニュースレター配信コンポーネントです。誰でもアクセスできるフロントエンドのエンドポイントが、リクエストのパラメータを検証しないままデータベースへの問い合わせに渡していました。そのため、ログインしていない訪問者でも任意のテーブルを読み取れる状態でした。対象にはパスワードハッシュを含むユーザーアカウントやサイトのコンテンツも含まれます（SQLインジェクション）。影響を受けるのはバージョン6.0.0～10.11.0で、10.11.1以降で修正されています（CVE-2026-56292）。
RSFiles!は、Joomlaでファイルやダウンロードを管理するための拡張機能です。フロントエンドのアップロード機能がログインなしで呼び出せてしまい、セキュリティトークンもファイル形式も検証していませんでした。そのため、PHPファイルを公開ディレクトリに置いて実行させることができます（リモートコード実行）。影響を受けるのは1.17.11以前のすべてのバージョンで、1.17.12へのアップデートでこの脆弱性は解消します。
A short overview without a dedicated guide page. Affected and safe versions come from the vendors; the identifiers are checked against the official CVE database.
A system plugin that hooks into the output of all content. Without logging in, attackers could run their own code on the server.
Code execution without login through a form element. Note: the interim releases 4.6.7 and 4.6.8 do not fix it.
The shop’s product filter allowed the database to be read without logging in, customer data included.
Several entry points allowed the database to be read without logging in, down to password hashes and sessions.
An insecure default allowed anonymous file uploads. The vendor ships a cleanup tool - run it after updating.
The database could be read without logging in. The advisories explicitly name the Pro edition.
Arbitrary files could be uploaded anonymously, in some cases up to code execution. The 4.0 line is unaffected.
The author filter allowed database contents to be read without logging in - read-only, but complete.
A front-end filter allowed the database to be read without logging in, down to credentials.
Listing images could be uploaded without login and without checks - a way to plant a malicious file.
Anonymous visitors could read and delete files. 2.0.2 is not enough; only 2.0.3 closes it fully.
Anonymous file upload, plus an endpoint that revealed the name and email for any user number.
