- Son 7 gün
- CWE-94
CVE-2026-102802
Sourcerer ve Articles Anywhere eklentilerinde PHP kodu enjeksiyonu açığı (Joomla)
regularlabs.com Articles Anywhere extension for Joomlaregularlabs.com Sourcerer Free extension for Joomlaregularlabs.com Sourcerer Pro extension for Joomla
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Joomla
Yönetici özeti
Bu açık, web sitenizin içerik yönetim eklentilerinde bir güven boşluğu oluşturuyor ve bir saldırganın sunucunuzda kod çalıştırmasına olanak tanıyabilir. Etkisi yüksek olduğu için sitenizi barındıran tüm işletmeler için öncelikli bir güvenlik güncellemesi gerektirir. Güncellemeyi gecikmeden yapmanız, veri ve hizmet kesintisi riskini azaltır.
ÖzetTürkçe
Sourcerer eklentisi, makalelerin PHP kodu çalıştırmasına yazarın güven durumuna göre izin verir. Articles Anywhere eklentisi, bir makalenin metnini veya tam düzenini başka bir makaleye ekleyebilir. Bu iki eklenti birlikte kullanıldığında, Force Content Triggers kapalıyken Articles Anywhere, Sourcerer'dan önce çalışan bir eklemeyi işlerse, eklenen makalenin Sourcerer kodu kendi yazarının değil, ana makalenin güvenilir kimliğiyle değerlendirilebilir. Etkilenen sürümler Sourcerer 17.0.0 ve öncesi ile Articles Anywhere 20.1.0 ve öncesidir.
Saldırgan ne yapabilir?
Saldırgan, güvenilir olmayan bir makalede bulunan PHP kodunu, güvenilir bir makalenin yetkisiyle çalıştırabilir; bu da sunucuda uzaktan kod çalıştırma ve veri okuma/değiştirme anlamına gelebilir. Ancak saldırının başarılı olması için yüksek yetkili bir kullanıcının (PR:H) erişimi gerekir.
Kaynaktaki açıklama (İngilizce)
Joomla Extension - regularlabs.com - PHP code injection vector in Sourcerer extension < 17.0.1 when used with Articles Anywhere extension < 20.1.1 - Sourcerer can restrict PHP in articles according to article-author trust; the exact creator and last-editor rule varies by release. Articles Anywhere can insert the text or full layout of one article into another. In the affected combination, when Articles Anywhere processes an inclusion before Sourcerer and Force Content Triggers is off, the included article's Sourcerer code can be evaluated using the enclosing article's trusted identity rather than the included article's own identity. The resulting gap is between the authority of the article supplying the code and the authority used to decide whether to run it. Ordinary Articles Anywhere output is not itself the issue.
Ne yapmalı?
- Sourcerer Free ve Sourcerer Pro eklentilerini 17.0.1 veya üzeri bir sürüme güncelleyin. Genel öneri
- Articles Anywhere eklentisini 20.1.1 veya üzeri bir sürüme güncelleyin. Genel öneri
- Güncellemeden sonra her iki eklentinin de sürüm numaralarını yönetici panelinden doğrulayın. Genel öneri
Ek önlemler
- Makale oluşturma ve düzenleme yetkilerini yalnızca güvenilen kullanıcılarla sınırlayın. Genel öneri
- Yetkisiz veya beklenmeyen PHP içeren makaleleri ve son yapılan içerik değişikliklerini düzenli olarak denetleyin. Genel öneri
- Sitenizde kullanılmayan eklentileri kaldırın ve kullanılanları güncel tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| regularlabs.com Articles Anywhere extension for Joomla | ≥ 1.4.5, ≤ 20.1.0 | – |
| regularlabs.com Sourcerer Free extension for Joomla | ≥ 13.0.0, ≤ 17.0.0 | – |
| regularlabs.com Sourcerer Pro extension for Joomla | ≥ 3.0.0, ≤ 17.0.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.