CERTFR-2024-AVI-0151_Multiples vulnerabilites dans Joomla!

Objet : Multiples vulnérabilités dans Joomla!

Référence : CERTFR-2024-AVI-0151

Risque(s)

- Contournement de la politique de sécurité
- Injection de code indirecte à distance (XSS)

Systèmes affectés

- Joomla! CMS versions antérieures à 3.10.15-elts
- Joomla! CMS versions 4.x antérieures à 4.4.3
- Joomla! CMS versions 5.x antérieures à 5.0.3

Résumé

De multiples vulnérabilités ont été découvertes dans Joomla!. Elles permettent à un attaquant de provoquer un contournement de la politique de sécurité et une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité Joomla! du 20 février 2024
https://www.joomla.org/announcements/release-news/5904-joomla-5-0-3-and-4-4-3-security-and-bug-fix-release.html
- Bulletin de sécurité Joomla! 20240201 du 20 février 2024
https://developer.joomla.org/security-centre/925-20240201-core-insufficient-session-expiration-in-mfa-management-views.html
- Bulletin de sécurité Joomla! 20240202 du 20 février 2024
https://developer.joomla.org/security-centre/926-20240202-core-open-redirect-in-installation-application.html
- Bulletin de sécurité Joomla! 20240203 du 20 février 2024
https://developer.joomla.org/security-centre/927-20240203-core-xss-in-media-selection-fields.html
- Bulletin de sécurité Joomla! 20240204 du 20 février 2024
https://developer.joomla.org/security-centre/928-20240204-core-xss-in-mail-address-outputs.html
- Bulletin de sécurité Joomla! 20240205 du 20 février 2024
https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html
- Référence CVE CVE-2023-21722
https://www.cve.org/CVERecord?id=CVE-2023-21722
- Référence CVE CVE-2023-21723
https://www.cve.org/CVERecord?id=CVE-2023-21723
- Référence CVE CVE-2023-21724
https://www.cve.org/CVERecord?id=CVE-2023-21724
- Référence CVE CVE-2023-21725
https://www.cve.org/CVERecord?id=CVE-2023-21725
- Référence CVE CVE-2023-21726
https://www.cve.org/CVERecord?id=CVE-2023-21726

Dernière version du document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0151/