CSRF в различных действиях корзины Event Gallery для Joomla до версии 6.5.0 (CVE-2026-100748)

В расширении Event Gallery для системы управления контентом Joomla, разработанном svenbluege.de, выявлена уязвимость типа CSRF (Cross-Site Request Forgery, межсайтовая подделка запроса). Проблема затрагивает различные действия, связанные с корзиной, и присутствует в версиях расширения ниже 6.5.0. Уязвимость имеет идентификатор CVE-2026-100748 и оценку CVSS 6.9, что соответствует среднему уровню критичности. Информация об уязвимости опубликована в базе CVE Project (cvelistV5).

Подробности

Затронутый продукт — Event Gallery для Joomla (svenbluege.de). Уязвимы версии расширения ниже 6.5.0. Тип уязвимости — CSRF (межсайтовая подделка запроса). Суть проблемы заключается в том, что различные действия с корзиной в расширении не имеют достаточной защиты от подделки запросов со стороны третьих лиц. Это означает, что злоумышленник может сформировать специальным образом подготовленную страницу или ссылку, при открытии которой авторизованный пользователь непреднамеренно выполнит нежелательные действия с корзиной на уязвимом сайте. Оценка CVSS составляет 6.9 (MEDIUM), что говорит о среднем уровне опасности. Последствия эксплуатации зависят от конкретных действий с корзиной, доступных через уязвимые точки: это могут быть несанкционированные изменения содержимого корзины, оформление или модификация заказов и иные манипуляции, совершаемые от имени пользователя без его ведома.

Что делать

Основная рекомендация — обновить расширение Event Gallery для Joomla до версии 6.5.0 или выше. В этой версии, согласно записи CVE, уязвимость устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные меры защиты: - Ограничить доступ к административной и пользовательской части сайта, где используются функции корзины, до завершения обновления. - Проверить наличие и корректность работы стандартных механизмов защиты Joomla от CSRF, включая использование токенов для форм и действий, связанных с корзиной. - Усилить мониторинг подозрительной активности на сайте (необычные действия с корзиной, изменение заказов), чтобы своевременно выявлять попытки эксплуатации. - По возможности ограничить круг пользователей, имеющих доступ к функциям корзины, до устранения уязвимости. Важно помнить, что CSRF-атаки эксплуатируют доверие сайта к браузеру уже авторизованного пользователя, поэтому особое внимание стоит уделить проверке токенов и защите форм. Итог: уязвимость CVE-2026-100748 в расширении Event Gallery для Joomla (версии ниже 6.5.0) представляет собой CSRF в действиях корзины со средним уровнем критичности (CVSS 6.9). Для защиты необходимо как можно скорее обновить расширение до версии 6.5.0 или выше, а до этого момента применять временные митигации и усилить контроль за действиями пользователей на сайте.

Источник: CVE Project (cvelistV5)