Уязвимость хранимого XSS в Phoca Gallery для Joomla (CVE-2026-102786)
В расширении Phoca Gallery для Joomla обнаружена уязвимость хранимого межсайтового скриптинга (stored XSS) через инъекцию в HTML-атрибуты. Проблема затрагивает версии 4.5.0–6.1.5 и требует аутентификации для эксплуатации. Уровень критичности — высокий (CVSS 8.6).
Подробности
Уязвимость затрагивает Phoca Gallery версий с 4.5.0 по 6.1.5 включительно. Тип проблемы — хранимый межсайтовый скриптинг (stored XSS), реализуемый через инъекцию в HTML-атрибуты. Для эксплуатации злоумышленнику требуется аутентификация в системе: таким образом, вектор атаки предполагает наличие учётной записи с соответствующими правами, что несколько ограничивает круг потенциальных атакующих, но не снижает серьёзности последствий. Суть уязвимости состоит в том, что вводимые данные не проходят достаточной очистки при формировании HTML-атрибутов, что позволяет внедрить вредоносный скрипт, который сохраняется на сервере и затем исполняется в браузерах других пользователей при просмотре скомпрометированного контента. Хранимый характер XSS делает атаку особенно опасной: полезная нагрузка не требует повторного взаимодействия с жертвой и может срабатывать автоматически при открытии страницы. Оценка CVSS 8.6 отражает высокую степень угрозы, связанную с возможностью выполнения произвольного кода в контексте сессии пользователя — вплоть до кражи учётных данных, cookie и выполнения действий от имени жертвы.Что делать
Основная рекомендация — обновить Phoca Gallery до версии, в которой устранена уязвимость. Следует проверить актуальный номер исправленной версии на официальном сайте разработчика phoca.cz и в репозитории расширения, поскольку диапазон уязвимых версий охватывает значительный период релизов (4.5.0–6.1.5). До установки обновления целесообразно применить компенсирующие меры: ограничить круг пользователей, имеющих права на редактирование контента галереи, провести ревизию существующих учётных записей и выданных привилегий, а также усилить мониторинг подозрительной активности в административной панели Joomla. Дополнительно рекомендуется проверить уже размещённый контент на наличие внедрённых скриптов, поскольку хранимая природа уязвимости означает, что вредоносный код мог быть сохранён ранее. Помогает и настройка строгой политики Content Security Policy (CSP), снижающей последствия исполнения внедрённых скриптов. Итог: CVE-2026-102786 — серьёзная уязвимость хранимого XSS в Phoca Gallery, требующая оперативного обновления расширения. Несмотря на необходимость аутентификации для эксплуатации, высокий балл CVSS и хранимый характер атаки делают промедление с патчингом рискованным для владельцев сайтов на Joomla.Источник: CVE Project (cvelistV5)