CSRF-уязвимость в Event Gallery для Joomla (CVE-2026-100747)

В компоненте Event Gallery для системы управления контентом Joomla, разрабатываемом svenbluege.de, выявлена уязвимость класса CSRF (Cross-Site Request Forgery) в функциональности загрузки изображений. Проблема затрагивает версии расширения ниже 6.5.0.

Подробности

Уязвимость получила идентификатор CVE-2026-100747 и оценку CVSS 5.1, что соответствует среднему уровню критичности.

Причиной стало отсутствие проверки CSRF-токена при обработке загрузки изображений. Это позволяет стороннему сайту инициировать запросы на загрузку файлов в событие от имени авторизованного пользователя. Поскольку проверка токена не выполняется, злоумышленник может не только добавить произвольные файлы, но и перезаписать уже существующие изображения, если их имена совпадают с загружаемыми.

Уязвимость затрагивает расширение Event Gallery for Joomla производства svenbluege.de. Атака возможна при условии, что пользователь с соответствующими правами (например, администратор или редактор галереи) находится в активной сессии и посещает вредоносный сайт, который автоматически отправляет подготовленный запрос на целевой ресурс.

Последствия эксплуатации включают несанкционированную подмену изображений в галерее событий, что может использоваться для распространения нежелательного контента или нарушения целостности данных сайта.

Что делать

Разработчик выпустил исправление в версии 6.5.0. Рекомендуется как можно скорее обновить расширение Event Gallery до версии 6.5.0 или выше.

Если обновление на текущий момент невозможно, следует рассмотреть временные меры защиты:

• Ограничить доступ к административной панели Joomla по IP-адресам доверенных сетей.
• Использовать браузеры с актуальными механизмами защиты от CSRF и рекомендациями покидать сессии администратора при переходе на сторонние ресурсы.
• Включить дополнительный WAF-фильтр, блокирующий подозрительные POST-запросы к эндпоинтам загрузки изображений расширения.
• Регулярно проверять целостность загруженных изображений и журналы доступа на предмет аномальной активности.

Уязвимость CVE-2026-100747 относится к классу CSRF и позволяет сторонним сайтам загружать и перезаписывать изображения в Event Gallery для Joomla. Несмотря на средний уровень критичности, она требует оперативной реакции, поскольку затрагивает целостность контента. Установка версии 6.5.0 полностью устраняет проблему.

Источник: CVE Project (cvelistV5)