Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In Joomla zit een fout in de manier waarop de naam van een cachegroep wordt gecontroleerd. Daardoor kan iemand met een speciaal samengesteld pad buiten de bedoelde cachemap terechtkomen. Via de actie om de cache te legen kunnen dan willekeurige mappen op de server worden verwijderd.
Wie loopt risico?
Je loopt risico als je website draait op Joomla 4.0.0 tot en met de 5.x-reeks of op de 6.x-reeks vóór de opgeloste versie. De aanval kan via het netwerk, maar volgens de beoordeling zijn hoge rechten nodig, zoals een beheerdersaccount. Er is geen sprake van bekend misbruik en er is geen openbaar aanvalsprogramma bekend.
Wat moet je doen?
Controleer je Joomla-versie
Kijk in het beheergedeelte van je site welke Joomla-versie je gebruikt. Zit je tussen 4.0.0 en 5.4.8 of tussen 6.0.0 en 6.1.3, dan moet je actie ondernemen.
Installeer de update
Werk Joomla bij naar een versie waarin het lek is opgelost. In de gegevens staan 5.4.8 en 6.1.3 als opgeloste versies. Controleer in het advies van de leverancier welke versie voor jouw reeks geldt.
Beperk beheerdersrechten
Omdat hoge rechten nodig zijn, helpt het om het aantal beheerdersaccounts klein te houden. Gebruik sterke wachtwoorden en schakel, waar mogelijk, tweestapsverificatie in.
Maak een back-up
Zorg voor een recente back-up van je website en bestanden, zodat je bij problemen snel kunt terugzetten.
Lees het advies van de leverancier
Het beveiligingsadvies van Joomla bevat de officiële details en de aanbevolen oplossing. Volg dit advies als jouw situatie afwijkt.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-92222, CVE-2026-92227, CVE-2026-92231, CVE-2026-92232, CVE-2026-90913, CVE-2026-92226. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
De cachelaag van Joomla controleert de naam van de cachegroep onvoldoende. Hierdoor is padtraversal mogelijk in de bestandsopslag van de cache. Bij de actie om de cache te legen (cache purge) kan een aanvaller zo een pad buiten de cachemap opgeven. Dat leidt tot het verwijderen van willekeurige mappen. De kwetsbaarheid is geclassificeerd als CWE-22 en kreeg van de CNA een CVSS 4.0-score van 7,0. De aanvalsroute is het netwerk, met hoge rechten als voorwaarde en een hoge impact op integriteit en beschikbaarheid.
CVSS-vector (versie 4.0, basisscore 7,0, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-22 · Padtraversal (onjuiste beperking van een pad tot een toegestane map)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee