Entre le 26 et le 30 septembre 2026, NVD a publié six CVE critiques dans cinq extensions Joomla. Le point commun est le même qu'en juillet : aucune ne demande d'authentification. Un visiteur anonyme suffit.
En juillet, la série d'uploads menant au RCE avait fini au catalogue KEV de la CISA (voir notre article sur les quatre extensions de juillet). Aucune des six CVE ci-dessous n'est au KEV à la date de rédaction. C'est le moment de les traiter, avant qu'elles y entrent.
| CVE | Extension | CVSS | Classe | Version de correction / borne NVD |
|---|---|---|---|---|
| CVE-2026-102425 | Balbooa Forms | 10.0 | RCE | corrigée en 2.4.3.4 |
| CVE-2026-101127 | Balbooa Forms | 9.4 | XSS stockée | corrigée en 2.4.3.4 |
| CVE-2026-102427 | OrdaSoft Joomla CCK | 10.0 | upload → RCE | < 8.3.16 |
| CVE-2026-76570 | JCTables | 9.1 | injection SQL | 1.21.1 |
| CVE-2026-101110 | OrdaSoft Book Library | 9.8 | injection SQL | < 6.4.6 |
| CVE-2026-94130 | YouTube Gallery | 9.8 | injection SQL | < 5.7.3 |
Balbooa Forms — CVE-2026-102425 (10.0) et CVE-2026-101127 (9.4)
Balbooa Forms était déjà dans la série de juillet. Cette fois, deux nouvelles failles, toutes deux corrigées en 2.4.3.4 d'après les descriptions NVD.
CVE-2026-102425 (S:C, 10.0) : le composant permet à l'administrateur de définir du code PHP exécuté après la soumission d'un formulaire public. Les valeurs saisies par le visiteur y sont insérées sans traitement avant exécution. Résultat : exécution de code côté serveur.
A public form must use the product's optional PHP-after-submission action
C'est la condition d'exposition : seuls les formulaires qui utilisent cette action PHP optionnelle sont concernés. Mais rares sont ceux qui savent, de mémoire, quels formulaires d'un site l'utilisent.
CVE-2026-101127 (9.4) : le nom de fichier d'un upload public est stocké tel quel, puis réaffiché sans échappement dans l'interface d'administration quand un admin consulte la soumission. C'est une XSS stockée qui vise la session de l'administrateur.
À faire : mettre à jour en 2.4.3.4 ou ultérieur ; en attendant, désactiver l'action PHP après soumission sur les formulaires publics et ne pas ouvrir les soumissions avec pièce jointe depuis un compte admin.
OrdaSoft Joomla CCK — CVE-2026-102427 (10.0)
Un point d'upload du composant est atteignable par le routage frontal normal, sans aucun contrôle d'authentification ni d'ACL. Le contenu du fichier est vérifié, mais pas son extension : la liste blanche existait dans le code mais n'était pas active. Le fichier est écrit sous la racine web, dans un emplacement où PHP s'exécute.
C'est exactement la classe de faille de juillet : upload non authentifié vers exécution de code.
Versions : NVD décrit les versions antérieures à 8.3.16 comme vulnérables. Vérifie la version à installer dans l'avis OrdaSoft.
À faire : mettre à jour, puis inspecter les répertoires d'upload du composant à la recherche de fichiers .php ou d'extensions exécutables qui n'ont rien à y faire.
JCTables — CVE-2026-76570 (9.1)
Le contrôleur d'API CRUD frontal de JCTables (joomcode) ne vérifie ni le jeton Joomla ni l'authentification, et construit ses requêtes SQL directement à partir des paramètres reçus — noms de table, de colonnes et valeurs. Injection SQL en lecture et en écriture.
Versions : NVD cite la 1.21.1 comme version concernée et ne publie pas de version corrigée. Renvoie-toi à l'éditeur ; à défaut de correctif, désactiver l'extension.
OrdaSoft Book Library — CVE-2026-101110 (9.8)
Injection SQL non authentifiée dans les paramètres de tri de la liste des livres. La protection en place reposait sur une liste noire de mots-clés, qui ne protège pas la position de la requête où la valeur est injectée. Je ne détaille pas le contournement.
Versions : antérieures à 6.4.6 (version gratuite) d'après NVD.
YouTube Gallery — CVE-2026-94130 (9.8)
Injection SQL non authentifiée dans la recherche de vidéos et le tri de l'extension de joomlaboat. NVD précise qu'elle porte sur les requêtes de lecture — ce qui suffit à extraire la table des utilisateurs Joomla et leurs empreintes de mot de passe.
Versions : antérieures à 5.7.3 d'après NVD.
Détection commune
- Fichiers PHP récents dans
images/,media/,tmp/et les répertoires d'upload des composants - Comptes Super Users créés ou modifiés récemment dans
#__userset#__user_usergroup_map - Journaux du serveur web : rafales de requêtes anonymes vers les points d'entrée de ces composants, erreurs SQL dans les journaux PHP
- Soumissions de formulaires avec pièces jointes au nom inhabituel (Balbooa Forms)
Mitigation
- Inventorier les extensions installées sur chaque site, avec leur version. Ce n'est presque jamais fait, et c'est la première étape.
- Mettre à jour Balbooa Forms (2.4.3.4), Joomla CCK, Book Library et YouTube Gallery vers des versions au-delà des bornes NVD, conformément aux avis éditeurs.
- Désactiver JCTables tant qu'aucune version corrigée n'est confirmée par l'éditeur.
- Interdire l'exécution PHP dans les répertoires d'upload au niveau du serveur web : la défense qui neutralise la classe entière.
- Désinstaller les extensions qui ne servent plus. Une extension désactivée mais présente reste un fichier sur le disque.
- En cas de compromission : changer les mots de passe administrateurs, régénérer le
secretdeconfiguration.php, et vérifier l'intégrité des fichiers du cœur.
Pourquoi surveiller vos extensions Joomla en continu
Le cœur de Joomla est bien suivi. Ses extensions, beaucoup moins, et c'est par elles que passent les compromissions en série. Six CVE critiques en cinq jours sur cinq extensions différentes, ça ne se suit pas à la main.
Avec cveo.tech, inventorie tes sites et leurs extensions, et reçois une alerte dès qu'une CVE critique touche l'une d'elles.