CERT Nazionale Italia - Computer Emergency Response Team

Lo scorso 9 aprile il Joomla! Project ha rilasciato la versione 3.9.5 del suo CMS che risolve tre vulnerabilità, di cui una di gravità elevata, nel codice “core” dell’applicazione.

Dettagli delle vulnerabilità (in Inglese):

• [Low] The Media Manager component does not properly sanitise the folder parameter, allowing attackers to act outside the media manager root directory (CVE-2019-10945)
• [High] The “refresh list of helpsites” endpoint of com_users lacks access checks, allowing calls from unauthenticated users (CVE-2019-10946)
• [Moderate] The $.extend method of JQuery is vulnerable to Object.prototype pollution attacks

Si raccomanda a tutti i gestori di siti Web che utilizzano questo CMS di aggiornare al più presto la propria piattaforma.

Per maggiori dettagli sui problemi di sicurezza risolti in Joomla! 3.9.5 è possibile consultare i relativi bollettini sul sito Joomla! Developer Network (in Inglese):

• [20190401] – Core – Directory Traversal in com_media
• [20190402] – Core – Helpsites refresh endpoint callable for unauthenticated users
• [20190403] – Core – Object.prototype pollution in JQuery $.extend