CVE-2026-92231
Joomla CVE-2026-92231: XSS в InputFilter и HTML5-сущности
В Joomla InputFilter проверка javascript: не декодировала HTML5-сущности до фильтрации, что создавало XSS-вектор. Проверьте CMS и обновитесь.
Кому нужно проверить
Владельцам Joomla, обрабатывающей пользовательский HTML или атрибуты. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Специально сформированный атрибут может обойти проверку и привести к XSS в браузере.
Затронутые версии
Joomla CMS 1.5.0–5.4.8 и 6.0.0–6.1.3 согласно advisory.
Исправленные версии
Joomla 5.4.9 или 6.1.4; старые неподдерживаемые ветки следует мигрировать.
Что сделать
- 1Подтвердите версию Joomla и custom-код, использующий InputFilter.
- 2Сделайте резервную копию и проверьте совместимость расширений.
- 3Обновите CMS до исправленной версии.
- 4Проверьте журналы и пользовательский контент на подозрительную разметку.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.