Kerngegevens
- Leverancier
- Joomla
- Product
- Joomla!
- Soort software
- CMS
- Getroffen versies
- Joomla! vanaf 4.0.0 tot 5.4.8 en vanaf 6.0.0 tot 6.1.3
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Joomla! 5.4.8
- Joomla! 6.1.3
- CVE gepubliceerd
- 29 september 2026
- Gepubliceerd op LekkenRadar
- 6 oktober 2026
- Laatst gewijzigd bij NVD
- 6 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het CMS Joomla worden de webservice-endpoints voor toegangsniveaus onvoldoende gecontroleerd op rechten. Hierdoor kan iemand zonder de juiste bevoegdheid wijzigingen doorvoeren in die toegangsniveaus. Toegangsniveaus bepalen wie welke onderdelen van een site mag zien of gebruiken.
Wie loopt risico?
Je loopt risico als je een site draait op Joomla 4.0.0 tot 5.4.8 of 6.0.0 tot 6.1.3. De aanval gaat via het netwerk. Volgens de beoordeling is daarvoor wel een account met uitgebreide rechten nodig. Er zijn geen aanwijzingen dat het lek actief wordt misbruikt, en er is geen publiek exploit bekend.
Wat moet je doen?
Controleer je Joomla-versie
Kijk in het beheerdeel van je site welke versie van Joomla je gebruikt. Zit je in de reeks 4.0.0 tot 5.4.8 of 6.0.0 tot 6.1.3, dan is je site getroffen.
Werk Joomla bij
Update naar Joomla 5.4.8 of 6.1.3. Dit zijn de versies waarin de leverancier het lek als opgelost noemt.
Beperk de toegang tot de webservices
Kun je nu nog niet updaten, beperk dan de blootstelling van de webservice-endpoints van je site. Controleer ook welke accounts uitgebreide rechten hebben en verwijder accounts die niet nodig zijn.
Lees het advies van de leverancier
Het beveiligingsadvies van Joomla bevat de officiële details over dit lek. Volg die aanwijzingen op.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-92222, CVE-2026-92227, CVE-2026-92231, CVE-2026-92232, CVE-2026-90915, CVE-2026-92226. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de Joomla Core, in de webservice-endpoints voor toegangsniveaus (access levels). De ACL-controles op deze endpoints zijn onjuist, waardoor onbevoegde gebruikers mutatieacties kunnen uitvoeren. Het gaat om CWE-284, onjuiste toegangscontrole. De CVSS 4.0-vector wijst op aanval via het netwerk, lage complexiteit, geen gebruikersinteractie en hoge vereiste rechten (PR:H). De impact op vertrouwelijkheid is hoog en op integriteit laag. De leverancier noemt Joomla 5.4.8 en 6.1.3 als opgeloste versies.
CVSS-vector (versie 4.0, basisscore 7,0, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-284 · Onjuiste toegangscontrole
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,3%
- Aanvalscode openbaar
- Nee