Unauthenticated SQL-инъекция в OrdaSoft Joomla Gallery (CVE-2026-88855)

В экосистеме Joomla выявлена серьёзная уязвимость, затрагивающая популярное расширение для организации фотогалерей от разработчика OrdaSoft.com. Проблеме присвоен идентификатор CVE-2026-88855, а базовая оценка по шкале CVSS составляет 8.6, что соответствует высокому уровню критичности. Уязвимость относится к классу SQL-инъекций и присутствует в версиях расширения ниже 6.2.7.

Подробности

Уязвимость локализована в функции saveGallery(), которая отвечает за сохранение данных галереи. Формальные данные проходят через самописный парсер, после чего попадают в объект Input фреймворка Joomla. При чтении значений используются фильтры типов ARRAY и STRING, ни один из которых не выполняет очистку SQL-содержимого. В результате значения из полей category_names[], catOrderIds и полей упорядочивания изображений конкатенируются напрямую в SQL-запросы без экранирования и без приведения к целочисленному типу. Эксплуатация не требует аутентификации с правами администратора: достаточно наличия учётной записи с разрешением core.manage. Это разрешение ограничено управлением одним компонентом галереи и не предоставляет доверия уровня администратора всего сайта. Тем не менее, даже такой ограниченный пользователь получает возможность полного чтения и записи базы данных. В частности, возможна UNION-инъекция для извлечения хэшей паролей пользователей из таблицы #__users, что создаёт прямую угрозу компрометации всех учётных записей сайта. Стоит отметить, что заголовок записи CVE содержит формулировку «Unauthenticated SQL Injection», тогда как в описании уязвимость охарактеризована как «Authenticated, Privileged». Это расхождение в исходных данных рекомендуется учитывать при оценке вектора атаки.

Что делать

Основная рекомендация — обновить расширение OrdaSoft Joomla Gallery до версии 6.2.7 или выше. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные меры: ограничить круг пользователей с разрешением core.manage, усилить мониторинг подозрительной активности в компоненте галереи и проверить журналы SQL-запросов на предмет аномалий. Также целесообразно провести аудит базы данных на предмет несанкционированного доступа и сменить пароли при наличии признаков компрометации. В качестве дополнительной защиты можно применить правила WAF, блокирующие подозрительные конструкции в параметрах запросов к компоненту. Итог: CVE-2026-88855 представляет серьёзную угрозу для сайтов на Joomla, использующих OrdaSoft Joomla Gallery. Высокая оценка CVSS, возможность извлечения хэшей паролей и относительно низкий порог для эксплуатации делают обновление до версии 6.2.7 приоритетной задачей для администраторов.

Источник: CVE Project (cvelistV5)