CVE-2026-88853: хранимая XSS в Modals Pro для Joomla

В компоненте Modals Pro от regularlabs.com для системы управления контентом Joomla выявлена уязвимость хранимой межсайтовой скриптовой атаки (stored XSS). Проблема затрагивает версии расширения ниже 17.0.0 и получила идентификатор CVE-2026-88853.

Подробности

Modals Pro штатно поддерживает подключение JavaScript-обработчиков событий, таких как on-open и on-closed. Эти возможности по замыслу разработчика предназначены для доверенных авторов и администраторов, настраивающих поведение модальных окон на сайте.

Однако в уязвимых версиях расширение не разграничивает доверенную конфигурацию от кода событий, поступающего из обычного содержимого статей. В результате пользователь с пониженными привилегиями (например, автор материала) может воспользоваться документированной исполняемой функцией, которая должна быть зарезервирована исключительно для доверенных пользователей. Внедрённый таким образом вредоносный код сохраняется на сервере и исполняется в браузере других посетителей или административных пользователей при просмотре затронутой страницы.

Уязвимости присвоена базовая оценка CVSS 7.5, что соответствует высокому уровню опасности. Хранимая XSS позволяет злоумышленнику выполнять произвольные сценарии в контексте сессии жертвы — в том числе перехватывать данные аутентификации, совершать действия от имени пользователя или перенаправлять его на сторонние ресурсы.

Что делать

Разработчик выпустил исправленную версию расширения. Основная рекомендация — обновить Modals Pro до версии 17.0.0 или более поздней. Перед обновлением следует создать резервную копию сайта и базы данных.

Если установка обновления по каким-либо причинам невозможна, стоит рассмотреть временные меры: ограничить круг пользователей, имеющих право редактировать материалы и настраивать параметры расширения, а также усилить контроль за содержимым, публикуемым авторами с низкими привилегиями. Дополнительно помогает настройка политики безопасности контента (CSP), ограничивающая исполнение сторонних скриптов, однако это не является полноценной заменой установке патча.

Уязвимость класса stored XSS несёт существенный риск для сайтов на Joomla, где расширению Modals Pro разрешено работать с пользовательским контентом, а права авторов не ограничены должным образом. Единственным надёжным способом устранения проблемы остаётся обновление до версии 17.0.0. Администраторам рекомендуется также проверить журналы и содержимое статей на предмет подозрительных JavaScript-вставок, которые могли быть добавлены до установки исправления.

Источник: CVE Project (cvelistV5)