Уязвимость открытого почтового релея в T4 Page Builder для Joomla (CVE-2026-78374)
В расширении T4 Page Builder от joomlart.com для системы управления контентом Joomla выявлена уязвимость, позволяющая использовать сайт в качестве открытого почтового релея. Проблема получила идентификатор CVE-2026-78374 и оценку 6.9 по шкале CVSS, что соответствует среднему уровню опасности.
Подробности
Уязвимости подвержены версии расширения T4 Page Builder для Joomla ниже 2.3.0. Источником проблемы является фронтенд-эндпоинт JSON-редактора, который предоставляет действие contact. Этот обработчик не требует аутентификации, не проверяет CSRF-токен и не использует капчу (при условии, что плагин капчи не включён). Кроме того, для него не предусмотрено ограничение частоты запросов (rate limiting).
В результате атакующий получает полный контроль над содержимым письма: он может самостоятельно задать получателя, тему и HTML-тело сообщения. Отправка производится от имени сайта — с использованием настроенных в Joomla значений mailfrom и fromname. Это означает, что злоумышленник способен рассылать письма, которые для получателя выглядят как легитимные уведомления от доверенного домена.
Ключевые характеристики уязвимости:
- тип: открытый почтовый релей (open mail relay) через неаутентифицированный AJAX-эндпоинт;
- затронутый продукт: T4 Page Builder extension for Joomla (joomlart.com);
- уязвимые версии: все версии ниже 2.3.0;
- CVSS: 6.9 (MEDIUM);
- условия эксплуатации: не требуется учётная запись, CSRF-токен или прохождение капчи; отсутствует ограничение частоты обращений.
Практические последствия включают использование сайта для массовых фишинговых рассылок, распространения спама и вредоносных вложений от имени доверенного домена. Это может привести к блокировке домена в спам-фильтрах, попаданию в чёрные списки и репутационному ущербу для владельца ресурса. Поскольку письма отправляются с настроенной идентичности сайта, получатели и почтовые провайдеры с трудом отличают такие сообщения от легитимных.
Что делать
Основная рекомендация — обновить расширение T4 Page Builder до версии 2.3.0 или выше, в которой уязвимость устранена. Перед обновлением следует создать резервную копию сайта и протестировать совместимость с текущей версией Joomla и другими установленными расширениями.
Если немедленное обновление невозможно, стоит рассмотреть временные компенсационные меры:
- включить плагин капчи в Joomla, чтобы усложнить автоматизированную эксплуатацию эндпоинта;
- ограничить доступ к фронтенд-эндпоинту JSON-редактора на уровне веб-сервера или WAF, заблокировав нежелательные запросы к действию
contact; - настроить ограничение частоты запросов (rate limiting) для подозрительных обращений к AJAX-эндпоинтам;
- проверить журналы почтового сервера и логи веб-сервера на предмет аномальных отправок и обращений к уязвимому эндпоинту;
- рассмотреть временное отключение расширения, если оно не используется критично для работы сайта.
Также рекомендуется убедиться, что почтовый сервер сайта настроен с аутентификацией и не принимает произвольные исходящие сообщения, а домен защищён записями SPF, DKIM и DMARC — это снижает вероятность успешного использования сайта в фишинговых кампаниях.
Уязвимость CVE-2026-78374 демонстрирует, насколько опасными могут быть неаутентифицированные функциональные эндпоинты, особенно когда они связаны с отправкой почты. Владельцам сайтов на Joomla с установленным T4 Page Builder следует как можно скорее обновить расширение до версии 2.3.0 или новее и проверить почтовые логи на признаки несанкционированных рассылок.
Источник: CVE Project (cvelistV5)