Avis du CERT-FR
Objet : Multiples vulnérabilités dans Joomla!
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection de code indirecte à distance (XSS)
Systèmes affectés
- Joomla! CMS versions 4.x antérieures à 4.4.3
- Joomla! CMS versions 5.x antérieures à 5.0.3
- Joomla! CMS versions antérieures à 3.10.15-elts
Résumé
De multiples vulnérabilités ont été découvertes dans Joomla!. Elles permettent à un attaquant de provoquer un contournement de la politique de sécurité et une injection de code indirecte à distance (XSS).
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Joomla! du 20 février 2024
https://www.joomla.org/announcements/release-news/5904-joomla-5-0-3-and-4-4-3-security-and-bug-fix-release.html -
Bulletin de sécurité Joomla! 20240201 du 20 février 2024
https://developer.joomla.org/security-centre/925-20240201-core-insufficient-session-expiration-in-mfa-management-views.html -
Bulletin de sécurité Joomla! 20240202 du 20 février 2024
https://developer.joomla.org/security-centre/926-20240202-core-open-redirect-in-installation-application.html -
Bulletin de sécurité Joomla! 20240203 du 20 février 2024
https://developer.joomla.org/security-centre/927-20240203-core-xss-in-media-selection-fields.html -
Bulletin de sécurité Joomla! 20240204 du 20 février 2024
https://developer.joomla.org/security-centre/928-20240204-core-xss-in-mail-address-outputs.html -
Bulletin de sécurité Joomla! 20240205 du 20 février 2024
https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html -
Référence CVE CVE-2023-21722
https://www.cve.org/CVERecord?id=CVE-2023-21722 -
Référence CVE CVE-2023-21723
https://www.cve.org/CVERecord?id=CVE-2023-21723 -
Référence CVE CVE-2023-21724
https://www.cve.org/CVERecord?id=CVE-2023-21724 -
Référence CVE CVE-2023-21725
https://www.cve.org/CVERecord?id=CVE-2023-21725 -
Référence CVE CVE-2023-21726
https://www.cve.org/CVERecord?id=CVE-2023-21726 -
Référence CVE CVE-2024-21725
https://www.cve.org/CVERecord?id=CVE-2024-21725
Gestion détaillée du document
| Date | Description |
|---|---|
| 21 février 2024 | Version initiale |
| 28 janvier 2025 | Ajout de l'identifiant CVE-2024-21725 |