Résumé
généré automatiquement à partir des données NVDL'extension Joomla JCTables de joomcode.com, en version 1.21.1, contient une injection SQL non authentifiée (CWE-89) dans ses requêtes de lecture et d'écriture. Le contrôleur d'API CRUD front-end ne valide aucun jeton Joomla ni n'effectue de vérification d'authentification, et les noms de tables, de colonnes et les valeurs issus des paramètres de requête sont concaténés directement dans les requêtes SQL. La sévérité est critique, avec un score CVSS v3.1 de 9.1.
Description NVD (anglais)
Joomla Extension - joomcode.com - Unauthenticated SQL injection in read and write queries in JCTables 1.21.1 - The front-end CRUD API controller performs no Joomla token validation and no authentication check on any task. Table names, column names, and values are taken directly from request parameters and concatenated into SQL queries, allowing SQLi for reading and writing queries.
EPSS · FIRST.org
0,45 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 37 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 30 sept. 2026
- Mis à jour
- 6 oct. 2026
- Statut
- Analyzed
- Source
- security@joomla.org
Produits affectés
Faiblesses (CWE)
Références (2)
- https://www.joomcode.com/Product
- https://www.vulncheck.com/blog/jctables-unauthenticated-sql-rw-to-rceThird Party Advisory
CVEs similaires
Autres vulnérabilités de type CWE-89
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.