Уязвимость хранимого XSS в расширении Articles Anywhere для Joomla — CVE-2026-85195

В экосистеме Joomla вновь зафиксирована серьёзная уязвимость: в популярном расширении Articles Anywhere от regularlabs.com, позволяющем выводить содержимое статей в любом месте сайта, обнаружен недостаток, получивший идентификатор CVE-2026-85195. Проблема затрагивает как бесплатную, так и профессиональную (Pro) редакции расширения. Уязвимость относится к классу привилегированного хранимого межсайтового скриптинга (Stored XSS) и оценена в 7.5 балла по шкале CVSS, что соответствует высокому уровню опасности.

Подробности

Уязвимы все версии расширения Articles Anywhere для Joomla ниже 20.0.0. Суть проблемы заключается в том, что расширение принимает в синтаксисе ссылок такие опции, как onclick и onmouseover. В уязвимых версиях эти параметры преобразуются в реальные HTML-атрибуты событий без проверки уровня доверия к автору статьи. Ключевая особенность данной уязвимости — обход штатного фильтра содержимого Joomla (Author content filter). Поскольку исполняемый HTML-код формируется не в момент сохранения материала, а позже, при обработке плагином, вредоносная конструкция сохраняется в базе данных в «безобидном» виде и активируется только при отображении страницы. Это делает атаку хранимой: полезная нагрузка остаётся на сайте и срабатывает у каждого посетителя уязвимой страницы. Поскольку речь идёт о привилегированном XSS, для эксплуатации обычно требуется наличие у атакующего прав на создание или редактирование материалов. Однако в сочетании с хранимым характером уязвимости это позволяет надолго закрепить вредоносный код и атаковать в том числе администраторов и других пользователей сайта, вплоть до кражи сессионных данных и выполнения действий от их имени.

Что делать

Основная и наиболее надёжная рекомендация — обновить расширение Articles Anywhere до версии 20.0.0 или более поздней. В актуальных релизах разработчик устранил проблему: опции ссылок больше не преобразуются в HTML-атрибуты событий без должной проверки. Дополнительные меры для снижения риска:

• Проверьте установленную версию расширения через панель администратора Joomla и убедитесь, что она не ниже 20.0.0.
• Ограничьте круг пользователей, имеющих право создавать и редактировать статьи, до действительно необходимого минимума.
• Проведите аудит уже опубликованных материалов на предмет подозрительных конструкций с onclick и onmouseover в синтаксисе Articles Anywhere.
• Используйте актуальную версию Joomla и включённые штатные фильтры содержимого, помня, что в данном случае они не являются достаточной защитой.
• Для сайтов с высокими требованиями к безопасности рассмотрите применение WAF с правилами фильтрации XSS-нагрузок.

Итог: CVE-2026-85195 — показательный пример того, как расширения сторонних разработчиков могут ослаблять штатные механизмы защиты CMS. Хранимый характер уязвимости и обход фильтра Joomla делают её особенно опасной для сайтов, где к публикации материалов допущено несколько авторов. Единственный полноценный способ закрыть проблему — обновление Articles Anywhere до версии 20.0.0 и выше, дополненное проверкой уже существующего контента.

Источник: CVE Project (cvelistV5)