Критическая уязвимость RCE в YOOtheme Pro для Joomla (CVE-2026-102785)
Команда SafeKit сообщает о критической уязвимости в популярном расширении YOOtheme Pro для системы управления контентом Joomla. Проблема получила идентификатор CVE-2026-102785 и максимальную оценку CVSS 10.0, что указывает на исключительную опасность: эксплуатация не требует аутентификации и может привести к полной компрометации веб-сайта.
Подробности
Уязвимость затрагивает расширение YOOtheme Pro от yootheme.com для Joomla в версиях 5.0.0–5.0.55 (в описании записи также упоминается диапазон 5.0.0–5.0.52). Проблема кроется в публично доступном обработчике трансформации изображений: он неполно привязывает нормализованные операции обработки изображений и конечный путь записи к подписи запроса.
Из-за этого неаутентифицированный удалённый атакующий может повторно использовать подпись, раскрытую в легитимном публичном URL изображения, внедрить дополнительные операции обработки, выйти за пределы предполагаемого каталога кэша (path traversal) и записать в исполняемый публичный медиакаталог полиглот PNG/PHP, контролируемый злоумышленником. Это позволяет выполнить произвольный код на сервере (remote code execution).
Что делать
Рекомендации по снижению риска:
- В первую очередь обновите YOOtheme Pro до версии, в которой устранена уязвимость (проверьте актуальный релиз у производителя).
- Если обновление невозможно в кратчайшие сроки, рассмотрите временные митигации: ограничьте доступ к обработчику трансформации изображений на уровне веб-сервера или WAF, а также запретите выполнение PHP-скриптов в публичных медиакаталогах.
- Проведите проверку журналов веб-сервера на предмет подозрительных запросов к обработчику изображений и поиска необычных файлов в медиакаталогах.
- После обновления смените учётные данные и проверьте целостность файлов сайта на признаки компрометации.
Учитывая максимальный балл CVSS и отсутствие необходимости аутентификации, уязвимость следует рассматривать как приоритетную. Своевременное обновление расширения и контроль публично доступных обработчиков существенно снижают риск эксплуатации.
Источник: CVE Project (cvelistV5)