Le 5 octobre 2026, NVD a publié deux nouvelles CVE critiques sur des extensions Joomla : OrdaSoft Joomla CCK et TF Content. Toutes deux sont notées 9.8 et exploitables sans authentification.
C'est la suite directe du roundup de fin septembre, qui couvrait déjà une faille OrdaSoft. Le fil conducteur ne change pas : le cœur de Joomla est rarement en cause, ce sont les extensions tierces qui ouvrent la porte. Et elles sont souvent installées puis oubliées.
| CVE | Extension | CVSS 3.1 | Vecteur | Publication NVD | CISA KEV |
|---|---|---|---|---|---|
| CVE-2026-102428 | OrdaSoft Joomla CCK | 9.8 (CRITICAL) | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 2026-10-05 | non (à la date de rédaction) |
| CVE-2026-102780 | TF Content (TechFry) | 9.8 (CRITICAL) | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | 2026-10-05 | non (à la date de rédaction) |
OrdaSoft Joomla CCK — CVE-2026-102428
Ce que fait la faille
The order column for records was user provided and not properly validated, leading to a SQL injection vector.
Le paramètre qui choisit la colonne de tri des enregistrements vient de la requête et n'est pas validé. C'est une variante classique d'injection SQL : les requêtes préparées protègent les valeurs, mais pas les noms de colonne ou les clauses ORDER BY, qu'il faut confronter à une liste blanche. Quand ce contrôle manque, l'attaquant influe sur la requête SQL elle-même.
Pourquoi c'est grave
Pas de compte requis, pas d'interaction. Une injection SQL sur un site Joomla donne potentiellement accès à toute la base : comptes utilisateurs et hachés de mots de passe, sessions, contenu. Selon les droits de l'utilisateur SQL, elle peut aller jusqu'à la modification de données, d'où le I:H du vecteur.
Versions
NVD décrit la faille comme touchant les versions antérieures à 8.3.16. La borne publiée est 8.3.16 : c'est la première version non affectée selon la description. Vérifie dans les notes de version OrdaSoft que c'est bien la version à installer pour ta branche.
TF Content — CVE-2026-102780
Ce que fait la faille
TF Content, publiée par TechFry (joomlafry.com), est une extension de gestion de contenu côté frontend. NVD décrit un défaut d'autorisation combiné à de l'affectation de masse (mass assignment) :
The extension unconditionally authorizes both creation and editing in its public
RecordController.
En clair : le contrôleur public accepte la création et l'édition sans vérifier les droits, et enregistre les propriétés soumises sans les filtrer par le formulaire configuré. Un visiteur non connecté peut ainsi modifier n'importe quel enregistrement TF Content, y compris son statut de publication, son niveau d'accès et son auteur.
Pourquoi c'est grave
Le vecteur est noté 9.8 pour une raison simple : un invité peut réécrire le contenu public du site. Défiguration, publication de pages de phishing ou de spam SEO sous ton domaine, exposition de contenus réservés en changeant leur niveau d'accès, attribution de contenus à d'autres comptes. Sur un site institutionnel ou commercial, c'est un incident de réputation immédiat.
Versions
NVD indique les versions 2.9.0 à 2.9.4, avec une borne publiée à 2.9.4. NVD ne donne pas de version corrigée explicite : consulte la page de l'extension chez TechFry pour savoir quelle version installer. Si aucune n'est disponible, désactive l'extension.
Détection
Pour les deux extensions :
- Inventorie les extensions installées (Système → Extensions) et note leur version exacte. C'est souvent là que la surprise arrive.
- Journaux du serveur web : requêtes vers les composants concernés avec des paramètres de tri ou des corps de formulaire inhabituellement longs, ou en rafale depuis une même IP.
- Journaux SQL si activés : erreurs de syntaxe répétées, requêtes anormalement lentes.
- Contenus TF Content : enregistrements modifiés récemment sans action éditoriale connue, changements de statut ou de niveau d'accès, auteur incohérent.
- Comptes Joomla : super-utilisateurs ou administrateurs créés récemment, changements de mot de passe non expliqués.
Mitigation
- Mettre à jour OrdaSoft Joomla CCK vers 8.3.16 ou ultérieure.
- Mettre à jour TF Content vers la version corrigée publiée par TechFry ; à défaut, désactiver l'extension jusqu'à sa publication.
- Désinstaller les extensions inutilisées. Une extension désactivée mais présente reste du code à maintenir ; une extension supprimée ne l'est plus.
- Placer un WAF devant le site si tu ne peux pas mettre à jour immédiatement, en gardant en tête que c'est une mesure d'attente.
- En cas de compromission : restaurer les contenus depuis une sauvegarde saine, réinitialiser les mots de passe des comptes Joomla, faire tourner le mot de passe de l'utilisateur de base de données et les secrets de
configuration.php.
Pourquoi surveiller en continu les extensions de tes CMS
Sur Joomla, la surface d'attaque réelle, ce sont les extensions. Elles sont nombreuses, maintenues par des éditeurs de taille variable, et leurs failles tombent par vagues. Deux roundups en une semaine, ce n'est pas un hasard.
Avec cveo.tech, déclare tes sites et leurs extensions avec leur version exacte, et reçois une alerte dès qu'une CVE critique les concerne.