Критическая SQL-инъекция в OrdaSoft Joomla Gallery (CVE-2026-88854)
В расширении OrdaSoft Joomla Gallery для Joomla обнаружена критическая уязвимость SQL-инъекции, не требующая аутентификации. Любой анонимный посетитель сайта может через публичную форму поиска выполнить произвольные SQL-запросы и прочитать содержимое базы данных. Проблема затрагивает версии ниже 6.2.7 и имеет оценку CVSS 9.3.
Подробности
Уязвимости подвержены как бесплатная, так и платная версии расширения OrdaSoft Joomla Gallery для Joomla в версиях ниже 6.2.7. Причиной проблемы являются методы showSearchResult() и showSearchResultAjax(). Оба метода считывают параметры запроса textsearch/searchText с помощью $input->getVar(). Этот метод не является реальным фильтром Joomla: он пропускает значение через фильтр, который удаляет HTML-теги, но не обрабатывает кавычки и элементы SQL-синтаксиса. В результате значение параметра напрямую конкатенируется в условие LIKE без экранирования. Ключевая особенность уязвимости — отсутствие необходимости аутентификации. Точка входа mod_osgallery_search представляет собой публичный модуль поиска, который часто размещается на сайтах. Это означает, что любой анонимный посетитель может внедрить конструкцию UNION SELECT и прочитать произвольное содержимое базы данных. Оценка CVSS 9.3 отражает критический характер проблемы: уязвимость эксплуатируется удалённо, не требует привилегий и аутентификации, а также приводит к полной компрометации конфиденциальности данных.Что делать
Основная рекомендация — как можно скорее обновить расширение OrdaSoft Joomla Gallery до версии 6.2.7 или выше. Именно в этой версии уязвимость устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные меры: - отключить или удалить публичный модуль поиска mod_osgallery_search до установки патча; - ограничить доступ к эндпоинтам расширения на уровне WAF, заблокировав подозрительные конструкции (например, UNION SELECT) в параметрах textsearch/searchText; - усилить мониторинг журналов веб-сервера и СУБД на предмет аномальных запросов, обратив особое внимание на попытки эксплуатации формы поиска. Важно понимать, что митигации являются временным решением и не заменяют установку обновления. Итог: CVE-2026-88854 — критическая неаутентифицированная SQL-инъекция в OrdaSoft Joomla Gallery, позволяющая читать произвольные данные из базы. Всем владельцам сайтов на Joomla с этим расширением необходимо немедленно обновиться до версии 6.2.7. Если обновление откладывается, следует временно отключить публичную форму поиска и усилить контроль за подозрительной активностью.Источник: CVE Project (cvelistV5)