JCTables dla Joomla ma krytyczną lukę pozwalającą osobie bez konta odczytywać i zmieniać dane w bazie. CVE-2026-76570 otrzymało ocenę 10,0 w skali CVSS 4.0. Poprawka znajduje się w wersji 1.21.1.
JCTables służy do pokazywania i edytowania tabel. Problem występował w kontrolerze frontendu, do którego można było wysyłać żądania bez sprawdzenia logowania i uprawnień. W podatnym kodzie nazwy tabel, kolumn i wartości trafiały do zapytań SQL bez wystarczającej ochrony.
Jeżeli używasz komponentu, wykonaj kopię i zainstaluj JCTables Free 1.21.1 →. Dla edycji Pro pobierz pakiet po zalogowaniu do konta JoomCode. W razie potrzeby Joomla Guru może wykonać aktualizację i test tabel oraz kontrolę skutków włamania.
Co umożliwia CVE-2026-76570?
Rekord CVE obejmuje JCTables od 1.0.0 do 1.20.0. Wskazuje brak kontroli uwierzytelnienia i tokenu formularza w publicznym API operacji na tabelach. Skutkiem może być zarówno odczyt rekordów, jak i ich zmiana. Badacz z VulnCheck pokazał w środowisku testowym, że zmiana danych konta administratora może prowadzić do uzyskania dostępu do zaplecza i wykonania kodu na serwerze. To przedstawiona ścieżka ataku, a nie dowód włamania na każdą podatną stronę.
Opis badacza dotyczy edycji Free. Rekord CVE nie rozdziela edycji w zakresie podatnych wersji, dlatego użytkownicy Pro powinni sprawdzić numer zainstalowanego komponentu i pobrać aktualne wydanie ze swojego konta.
Co zrobić teraz?
- Sprawdź w Joomla, czy zainstalowany jest komponent
com_jctablesi jaki ma numer wersji. - Wykonaj kopię plików i bazy, a następnie zainstaluj wersję 1.21.1 lub nowszą. Nie odinstalowuj komponentu przed aktualizacją.
- Przetestuj widoki tabel, edycję rekordów i połączenia z bazą zewnętrzną, jeśli ich używasz.
- Przejrzyj konta administratorów, historię zmian i logi żądań do JCTables. Jeśli są ślady nadużycia, potraktuj sprawę jako incydent obejmujący bazę danych.
Powiadomienie o nowej wersji w Joomla może pojawić się później niż wydanie pakietu. Numer 1.21.1 sprawdź ręcznie. Jeżeli aktualizacja nie jest dziś możliwa, czasowo wyłącz komponent i sprawdź, czy strona nadal poprawnie obsługuje potrzebne funkcje.
Sama instalacja poprawki nie cofnie zmian, które mogły już trafić do bazy. Przy podejrzeniu naruszenia Joomla Guru może pomóc w analizie i usunięciu skutków włamania.
Źródła
FAQ
