Критическая SQL-инъекция в Joomla-расширении UP от lomart.fr — CVE-2026-97162
В Joomla-плагине UP от разработчика lomart.fr обнаружены множественные векторы SQL-инъекций. Уязвимости подвержены версии 5.0.0–5.2.0 и 6.0.0–6.0.29. Оценка критичности — 8.3 (HIGH), что требует незамедлительных действий администраторов сайтов на Joomla.
Подробности
Уязвимость затрагивает Joomla-плагин UP от lomart.fr. Уязвимыми признаны версии 5.0.0–5.2.0 и 6.0.0–6.0.29. Согласно описанию CVE, речь идёт о нескольких независимых векторах SQL-инъекций — то есть злоумышленник может внедрять произвольные SQL-запросы через недостаточно очищенные входные данные. SQL-инъекция остаётся одним из наиболее опасных классов веб-уязвимостей: она потенциально позволяет читать, изменять или удалять данные базы данных, обходить аутентификацию и в ряде конфигураций выполнять команды на сервере. При CVSS-оценке 8.3 уязвимость классифицируется как HIGH, что подразумевает серьёзные последствия при эксплуатации и относительно низкую сложность атаки. Плагин UP используется для расширения функциональности сайтов на Joomla, поэтому под угрозой оказываются как административные панели, так и публичные страницы, если они взаимодействуют с уязвимыми точками входа. Точный перечень уязвимых эндпоинтов в записи CVE не приводится.Что делать
Главная рекомендация — обновить плагин UP до версии, в которой устранены уязвимости. Если на текущий момент исправленная версия недоступна или обновление невозможно, следует рассмотреть следующие меры:- Временно отключить плагин UP, если он не критичен для работы сайта.
- Ограничить доступ к административной панели Joomla по IP-адресам или через дополнительную аутентификацию.
- Внедрить WAF (веб-application firewall), настроенный на фильтрацию SQL-инъекций, как временную компенсационную меру.
- Провести аудит журналов веб-сервера и базы данных на предмет подозрительных запросов.
- Убедиться, что учётная запись базы данных сайта имеет минимально необходимые привилегии.
Источник: CVE Project (cvelistV5)