Уязвимость CSRF в SP Property для Joomla (CVE-2026-78083)
В расширении SP Property для Joomla обнаружена уязвимость, связанная с отсутствием проверки CSRF-токена в обработчиках бронирования недвижимости и формы связи с агентом. Проблема затрагивает версии ниже 4.1.4 и имеет высокий уровень критичности (CVSS 7.1). Владельцам сайтов на Joomla с установленным SP Property рекомендуется как можно скорее обновить расширение.
Подробности
Уязвимость представляет собой отсутствие проверки anti-CSRF токенов сессии Joomla при обработке POST-запросов. Речь идёт о двух конечных точках расширения: — properties.booking — обработчик бронирования объекта недвижимости посетителем; — agents.sendmail — обработчик отправки сообщения через форму связи с агентом. Обе точки принимали POST-запросы без верификации токена, что открывает возможность для атак типа Cross-Site Request Forgery (CSRF). Злоумышленник может заставить авторизованного пользователя (или посетителя сайта) непреднамеренно выполнить действие — например, отправить бронирование или сообщение агенту — от его имени, без его ведома. Уязвимыми являются все версии расширения SP Property ниже 4.1.4. Проблема не затрагивает ядро Joomla и касается исключительно стороннего расширения joomshaper.com.Что делать
Основная и наиболее надёжная рекомендация — обновить расширение SP Property до версии 4.1.4 или более поздней. Разработчик выпустил исправление, в котором добавлена проверка CSRF-токенов на указанных конечных точках. Если по каким-то причинам обновление невозможно в кратчайшие сроки, можно рассмотреть временные меры: — ограничить доступ к административной части сайта и не допускать переходов по подозрительным ссылкам от имени авторизованных пользователей; — использовать WAF (веб-приложение firewall) с правилами, блокирующими подозрительные POST-запросы к properties.booking и agents.sendmail без валидного токена; — по возможности временно отключить соответствующие формы на сайте до установки патча. Стоит помнить, что митигации лишь снижают риск и не заменяют полноценное обновление. Итог: CVE-2026-78083 — серьёзная CSRF-уязвимость в расширении SP Property для Joomla, позволяющая инициировать нежелательные действия от имени пользователя. Единственный надёжный способ закрыть проблему — обновление до версии 4.1.4 и выше. Администраторам сайтов на Joomla, использующим это расширение, следует проверить установленную версию и незамедлительно применить патч.Источник: CVE Project (cvelistV5)