Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In Joomla wordt een rememberme-cookie te vroeg uitgegeven, nog voordat de extra verificatiestap (MFA) is afgerond. Daardoor kan de tweede inlogstap worden omzeild. De extra beveiliging van een account beschermt dan minder goed dan bedoeld.
Wie loopt risico?
Je loopt risico als je een website draait op Joomla in de getroffen versies (4.0.0 tot en met 5.4.x en 6.0.0 tot en met 6.1.x, zie de lijst met versies) en je MFA gebruikt om accounts te beschermen. De aanval kan via het netwerk plaatsvinden en vereist geen gebruikersinteractie. Er is volgens de gegevens geen actief misbruik bekend en er is geen publiek exploit beschikbaar.
Wat moet je doen?
Controleer je Joomla-versie
Kijk in het beheerdeel van je site welke Joomla-versie je gebruikt en vergelijk die met de getroffen versies: vanaf 4.0.0 tot 5.4.8 en vanaf 6.0.0 tot 6.1.3.
Update Joomla
Werk bij naar een opgeloste versie: 5.4.8 of 6.1.3, afhankelijk van de lijn waarop je site draait. Maak vooraf een back-up van je site en database.
Lees het advies van de leverancier
Draai je Joomla 4 of weet je niet zeker welke versie voor jou geschikt is? Volg dan het advies van Joomla in het Security Centre.
Beperk blootstelling tot je kunt updaten
Beperk waar mogelijk de toegang tot het beheerdeel van je site, bijvoorbeeld tot vertrouwde netwerken, totdat de update is doorgevoerd.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-92222, CVE-2026-92231, CVE-2026-92232, CVE-2026-90913, CVE-2026-90915, CVE-2026-92226. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de kern van Joomla en betreft een omzeiling van meervoudige authenticatie (MFA). Een rememberme-cookie wordt uitgegeven voordat de MFA-controle is voltooid. Zo kan een sessie als geauthenticeerd worden behandeld zonder dat de tweede factor is gecontroleerd. De leverancier meldt het probleem als Core-lek in Joomla 4.0.0 tot en met 5.4.8 en 6.0.0 tot en met 6.1.3. Het lek valt onder CWE-287 (onjuiste authenticatie). De CNA geeft een CVSS 4.0-score van 8,2, met een hoge impact op de integriteit.
CVSS-vector (versie 4.0, basisscore 8,2, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-287 · Onjuiste authenticatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee