CVE-2026-78302: XSS в Joomla-расширении SP Property от joomshaper.com
В расширении SP Property для Joomla обнаружена уязвимость межсайтового скриптинга (XSS), не требующая аутентификации. Неэкранированный вывод данных в шаблонах фронтенда и административных таблиц позволяет внедрить произвольный код. Оценка критичности — 8.6 (HIGH).
Подробности
Уязвимость затрагивает расширение SP Property для Joomla в версиях ниже 4.1.4. Согласно описанию, речь идёт о сохранённом (stored) межсайтовом скриптинге (XSS), который может быть эксплуатирован без прохождения аутентификации. Причина проблемы кроется в том, что сразу несколько файлов шаблонов — как во фронтенд-представлениях, так и в таблицах списков административной панели — выводят значения атрибутов и текстовые данные напрямую в HTML без контекстного экранирования. Это позволяет злоумышленнику внедрить вредоносный скрипт в поля, которые впоследствии отображаются другим пользователям: посетителям сайта и администраторам в панели управления. Поскольку эксплуатация не требует аутентификации, атаку может провести любой внешний злоумышленник, способный отправить данные в уязвимые поля формы. Успешная реализация атаки даёт возможность выполнить произвольный JavaScript в браузере жертвы — в том числе в контексте сессии администратора. Оценка CVSS составляет 8.6, что относит уязвимость к категории HIGH. Сам факт присутствия XSS в административных интерфейсах существенно повышает риски: компрометация учётной записи администратора может привести к полному контролю над сайтом.Что делать
Основная и наиболее надёжная рекомендация — обновить расширение SP Property до версии 4.1.4 или более поздней. Разработчик выпустил исправление, устраняющее проблему с экранированием вывода. Если немедленное обновление невозможно, следует рассмотреть временные меры: — ограничить доступ к административной панели Joomla по IP-адресам доверенных сетей; — усилить мониторинг журналов на предмет подозрительной активности и попыток внедрения скриптов; — проверить пользовательский контент и записи, отображаемые через SP Property, на наличие посторонних вставок; — применять принцип минимальных привилегий для учётных записей администраторов. Также стоит напомнить о стандартных защитных практиках: использование WAF, регулярное резервное копирование и своевременное обновление всех компонентов Joomla. Итог: уязвимость CVE-2026-78302 представляет серьёзную угрозу для сайтов, использующих SP Property ниже версии 4.1.4. Высокая оценка CVSS и отсутствие необходимости в аутентификации делают обновление до исправленной версии приоритетной задачей для администраторов.Источник: CVE Project (cvelistV5)