Joomla-Sicherheitslücken im Überblick
Alle Sicherheitslücken, die das Joomla-Projekt als CNA veröffentlicht - Kern und Dritt-Erweiterungen - zusammengeführt mit dem HTProtect-Definitions-Feed. Je Eintrag siehst du, ob HTProtect davor warnt und ob die Firewall den Angriff bereits abfängt.
Diese Seite führt alle Joomla-Sicherheitslücken auf, die das Joomla!-Projekt als CNA veröffentlicht hat - Schwachstellen im Joomla-Kern ebenso wie in Erweiterungen von Drittanbietern. Die Daten kommen live aus der National Vulnerability Database (NVD) und werden selbsttätig nachgeführt; zurückgezogene Kennungen bleiben außen vor.
Was du sonst nirgends findest: Zu jedem Eintrag steht, was HTProtect dagegen tut. Zwei getrennte Marker - Warnung heißt, betroffene Websites werden auf die verwundbare Erweiterung hingewiesen - und wo die automatische Aktualisierung eingeschaltet ist, stößt HTProtect sie gleich selbst an; Firewall heißt, der Angriffsweg wird abgefangen, noch bevor das Update eingespielt ist.
Feed-Version: –
So liest du diese Liste
Jede Zeile beginnt mit einem Farbbalken für den Schweregrad, dann folgen die CVE-Kennung und der CVSS-Wert. Die Beschriftung dahinter sagt, ob die Lücke im Joomla-Kern steckt oder in einer Erweiterung. Ein Klick öffnet die vollständige Beschreibung, den Vektor, das Veröffentlichungsdatum und die Originalquellen.
Der Schweregrad stammt aus der CVSS-Wertung der NVD: ab 9,0 gilt eine Lücke als kritisch, 7,0 bis 8,9 als hoch, 4,0 bis 6,9 als mittel. Einige Einträge tragen noch keine Wertung, weil die Einstufung aussteht - sie stehen unter „ohne Wertung“ und sind deshalb nicht automatisch harmlos.
Was die beiden HTProtect-Marker bedeuten
Warnung heißt: Die Erweiterung steht auf der HTProtect-Warnliste. Jede Installation, die sie einsetzt, holt sich diese Liste selbsttätig und zeigt dem Betreiber einen Hinweis im Dashboard - samt der Version, die die Lücke schließt.
Firewall heißt mehr: HTProtect führt eine Signatur für genau diesen Angriffsweg. Die Anfrage wird abgewiesen, bevor sie den verwundbaren Code erreicht. Das zählt vor allem in der Zeitspanne zwischen dem Bekanntwerden einer Lücke und dem tatsächlich eingespielten Update - genau darin gehen die meisten Websites verloren.
Wo keiner der beiden Marker steht, sagen wir das offen. Das heißt nicht, dass der Eintrag harmlos wäre - es heißt, dass wir dafür nichts haben. Diese Auskunft ist uns lieber als ein Schutzversprechen, das nicht trägt.
Joomla-Sicherheitslücken per RSS
Niemand sieht täglich in eine Liste. Der RSS-Feed liefert neue Einträge in deinen Reader, sobald sie erscheinen - ohne Konto, ohne E-Mail-Adresse, ohne Nachverfolgung.
Häufige Fragen
Wie aktuell ist diese Liste?
Die Lückendaten werden mehrmals täglich aus der NVD geholt und kurz zwischengespeichert, die HTProtect-Abdeckung alle paar Minuten neu gelesen. Der Zeitstempel am Seitenfuß nennt den Stand der Daten, die du gerade siehst.
Betrifft die Liste den Joomla-Kern oder Erweiterungen?
Beides. Das Joomla-Projekt vergibt als CNA Kennungen für den eigenen Kern und ebenso für Erweiterungen von Drittanbietern. Über die Schaltflächen oberhalb der Liste kannst du nach Bereich filtern.
Warum haben manche Einträge keine CVE-Kennung?
Einige stammen nicht aus der NVD, sondern aus dem HTProtect-Definitions-Feed - Lücken, die wir abdecken, für die aber keine CVE vergeben wurde. Genau die Einträge, die ein reiner NVD-Spiegel nicht zeigen kann.
Brauche ich HTProtect, um diese Seite zu nutzen?
Nein. Die Liste ist frei zugänglich, ohne Konto. Die beiden Marker zeigen lediglich, was HTProtect für eine Website täte, auf der es installiert ist.
Was tue ich, wenn eine von mir genutzte Erweiterung gelistet ist?
Aktualisiere sie auf die im Eintrag genannte Version. Gibt es keine Korrektur, deinstalliere die Erweiterung, statt sie nur zu depublizieren - der Code bliebe sonst erreichbar.