Nieuwsbrief

Elke week de belangrijkste lekken in je mail.

CVE-2026-92222

Joomla: SSRF-lek in meerdere kernextensies

Hoog8,9
Door Jelmer SchoutenBijgewerkt op CVSS 4.0 · bron: CNA

Kerngegevens

Leverancier
Joomla
Product
Joomla!
Soort software
CMS
Getroffen versies
Joomla! vanaf 4.0.0 tot 5.4.8, vanaf 6.0.0 tot 6.1.3
Oplossing
Update beschikbaar
Opgeloste versie
Joomla! 5.4.8
Joomla! 6.1.3
CVE gepubliceerd
29 september 2026
Gepubliceerd op LekkenRadar
6 oktober 2026
Laatst gewijzigd bij NVD
6 oktober 2026
Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail

Simpel uitgelegd

Wat is er aan de hand?

In meerdere onderdelen van de Joomla-kern worden webadressen die de server zelf opvraagt niet goed gecontroleerd. Daardoor kan Joomla ertoe worden gebracht verzoeken te doen naar adressen die niet bedoeld zijn. Dit soort fout heet server-side request forgery (SSRF).

Wie loopt risico?

Je loopt risico als je website draait op Joomla 4.0.0 tot en met de versies vlak voor 5.4.8, of op Joomla 6.0.0 tot de versies vlak voor 6.1.3. Volgens de beoordeling heeft een aanvaller hoge rechten nodig en moeten er extra omstandigheden meewerken, waardoor misbruik minder eenvoudig is. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt of dat er een publieke exploit bestaat.

Wat moet je doen?

  1. Controleer je Joomla-versie

    Kijk in het beheerdeel van je site welke Joomla-versie je gebruikt. Zit je in de reeks 4.0.0 tot 5.4.8 of 6.0.0 tot 6.1.3, dan is je site getroffen.

  2. Werk Joomla bij

    Update naar 5.4.8 als je op de 4.x- of 5.x-lijn zit, of naar 6.1.3 als je op de 6.x-lijn zit. Maak vooraf een back-up van je site en database.

  3. Lees het advies van de leverancier

    Controleer in het beveiligingsadvies van Joomla de exacte versies en eventuele aanvullende aanwijzingen. Zes andere meldingen verwijzen naar hetzelfde advies, dus met dezelfde update pak je waarschijnlijk meerdere zaken tegelijk aan.

  4. Beperk accounts met hoge rechten

    Het lek vraagt om hoge rechten. Controleer wie beheerdersrechten heeft, verwijder accounts die niet meer nodig zijn en gebruik sterke wachtwoorden met tweestapsverificatie.

  5. Dezelfde update lost meer lekken op

    Dezelfde update verhelpt ook CVE-2026-92227, CVE-2026-92231, CVE-2026-92232, CVE-2026-90913, CVE-2026-90915, CVE-2026-92226. Met de update hierboven zijn die ook opgelost.

Deel dit lek

Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen

Beschrijving

In diverse kernextensies van Joomla worden URL's die voor serverside verzoeken worden gebruikt onvoldoende gevalideerd. Hierdoor ontstaan SSRF-vectoren waarmee de server verzoeken kan versturen naar door de aanvaller gekozen bestemmingen. De kwetsbaarheid is geclassificeerd als CWE-918. De CVSS 4.0-score is 8,9 met aanvalsroute via het netwerk, hoge aanvalscomplexiteit, vereiste hoge rechten en geen gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is in de beoordeling hoog, ook voor gekoppelde systemen.

CVSS-vector (versie 4.0, basisscore 8,9, bron: CNA)

CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Zwakheid (CWE)
CWE-918 · Server-side request forgery (SSRF)
Aanvalsroute
Via het netwerk of internet
EPSS, kans op misbruik binnen 30 dagen
0,2%
Aanvalscode openbaar
Nee

Bronnen

Gerelateerde lekken