Vulnerabilitate de securitate

AcyMailing Joomla: injecție SQL, baza de date expusă

CriticăCVE-2026-56292

Acționați acum

Actualizați imediat AcyMailing la 10.11.1 sau mai nou – iar dacă site-ul a rulat o vreme neactualizat, schimbați suplimentar toate parolele.

Descărcați versiunea sigură Vedeți pașii de actualizare

Versiune sigură: AcyMailing 10.11.1 sau mai nou · via AcyMailing

Pe scurt

Extensia afectată

AcyMailing – componentă de newsletter (com_acym)

Producător

Acyba

Tipul vulnerabilității

Injecție SQL neautentificată printr-un endpoint public din front-end; permite citirea anonimă a oricărui tabel din baza de date (conturi de utilizator, hash-uri de parole, conținut)

Versiuni afectate

Versiunile 6.0.0 până la 10.11.0 inclusiv

Versiune sigură

AcyMailing 10.11.1 sau mai nou Descărcare

Severitate

Critică

CVE

CVE-2026-56292

Compatibilitate Joomla

Joomla 3 / 4 / 5

Actualizat / publicat

Publicat/remediat: 9 iulie 2026

Despre ce este vorba?

AcyMailing (com_acym) administrează newslettere și campanii de e-mail în Joomla. Un endpoint din front-end accesibil public – adică fără nicio autentificare – insera parametrii primiți nefiltrați într-o interogare SQL, astfel încât interogarea putea fi manipulată (injecție SQL).

Pe această cale, un atacator poate citi orice tabel din baza de date – de exemplu tabelul utilizatorilor, cu numele de autentificare și parolele (stocate ca hash), dar și articolele sau datele interne de configurare. Este vorba doar despre un acces de citire, care expune însă date sensibile și pregătește terenul pentru atacuri ulterioare, cum ar fi spargerea hash-urilor de parole.

Sunt vulnerabile versiunile 6.0.0 până la 10.11.0 inclusiv. Corecția este disponibilă din 9 iulie 2026, sub forma versiunii 10.11.1. Vulnerabilitatea este înregistrată cu identificatorul CVE-2026-56292.

Sunt afectat? – Cum verificați

Deschideți panoul de administrare
Autentificați-vă în administratorul Joomla.
Verificați versiunea
În Extensii›Administrare›Administrare, filtrați după AcyMailing și citiți versiunea instalată.
Evaluați versiunea
Dacă versiunea se află între 6.0.0 și 10.11.0, este nevoie de intervenție. Sigură este versiunea 10.11.1 sau una mai nouă.
Estimați riscul
Un atac de citire lasă puține urme vizibile. Dacă site-ul a rămas neactualizat o perioadă mai lungă, porniți de la premisa că hash-urile parolelor ar fi putut fi extrase.

Cum remediați vulnerabilitatea

Înainte de orice actualizare: copie de rezervă

Salvați fișierele și baza de date înainte de a actualiza – astfel puteți reveni la starea anterioară dacă apare o problemă (de ex. cu Akeeba Backup sau prin furnizorul de găzduire).

Deschideți centrul de actualizări
Accesați Sistem›Actualizare›Extensii și faceți clic pe Verifică actualizările.
Actualizați AcyMailing
Selectați intrarea AcyMailing și actualizați la 10.11.1 sau mai nou.
Confirmați versiunea
Verificați apoi că noua versiune a fost preluată.

Instalare manuală (alternativă)

Dacă nu apare nicio actualizare, descărcați pachetul din contul dumneavoastră AcyMailing și instalați-l prin Extensii›Administrare›Instalare.

Descărcați versiunea sigură

Sursă oficială: via AcyMailing. Asigurați-vă că aveți cel puțin AcyMailing 10.11.1 sau mai nou.

Site-ul a fost deja atacat?

Nicio actualizare nu recuperează datele deja citite

Actualizarea oprește accesele următoare, dar nu anulează o citire care a avut deja loc. Dacă site-ul a rămas neactualizat o vreme, schimbați preventiv toate parolele (utilizatorii Joomla, în special administratorii), încheiați sesiunile active și – dacă este posibil – regenerați cheile secrete Joomla. Verificați totodată lista de utilizatori pentru conturi necunoscute.

Aveți nevoie de ajutor la curățarea site-ului? Găsiți specialiști calificați în Directorul furnizorilor de servicii Joomla.

Surse & informații suplimentare

Raportarea inițială – mySites.guruAviz de securitate cu detalii tehnice
AcyMailing / Acyba (producător)Actualizarea se obține prin actualizatorul Joomla sau din contul AcyMailing
CVE-2026-56292 (CVE.org)Înregistrarea oficială CVE
Joomla Vulnerable Extensions List (VEL)Listă de extensii vulnerabile, întreținută de comunitate

Prevalează întotdeauna informațiile oficiale ale producătorului respectiv. Această pagină rezumă neutru informațiile disponibile public.

Vulnerabilități similare

Alte extensii cu vulnerabilități comparabile. Verificați dacă vreuna dintre ele este instalată pe site-ul dumneavoastră.

SP Page BuilderCriticăexploatată activ

JoomShaperAflați mai multe

Balbooa GridboxCriticăexploatată activ

BalbooaAflați mai multe

Înapoi la toate vulnerabilitățile

Susținători

Susținătorii acestui site

htprotect.org este un serviciu de informare gratuit și independent de producători. Este susținut de:

Găzduire & comunitate

FC-Hosting

Furnizor german de găzduire Joomla, cu suport activ pentru comunitate – a descoperit primul atac asupra vulnerabilității JCE.

fc-hosting.de

Inițiator & operator

Website-Bereinigung.de

Specializată în curățarea, întreținerea și securizarea site-urilor Joomla și WordPress.

website-bereinigung.de

Susțineți acest proiect

Oferiți servicii de găzduire sau servicii Joomla și doriți să sprijiniți htprotect.org – și să apăreți aici ca susținător? Fiecare contribuție ne ajută să îi avertizăm și să îi protejăm mai repede pe cei afectați.

Preferați să contribuiți discret, fără să apăreți în listă? Ne bucurăm la fel de mult și de o mică contribuție la fondul de cafea.

Susțineți HTProtect acum

Bauschild & Service

Producție și montaj de panouri de șantier, împrejmuiri de șantier și soluții de fațadă – inclusiv design și vizualizare 3D.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Suport IT profesionist din Cehia – administrare Windows, administrare de domenii și găzduire web.

defendersoft.cz

onlineweg.de

Portal de turism din Germania – pachete de vacanță, hoteluri și zboruri online, cu consiliere personală de agenție de turism.

onlineweg.de

Criadero

Agenție de creație din Brandenburg – web design, materiale tipărite, fotografie și panorame 360°, toate de la un singur furnizor.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Furnizor de servicii IT din Wächtersbach – site-uri Joomla, service PC, hardware și software.

jahnedv.de

IsariConsult

Consultanță în securitatea informației din Berlin – analize de securitate, managementul riscurilor și ISO 27001 pentru IMM-uri.

isari-consult.de

Schippelbein Mediengestaltung

Design media din Friedrichshafen – site-uri Joomla și WordPress, magazine online, grafică și 3D.

schippelbein.com