آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) هشدار داده است که مهاجمان از آسیب‌پذیری‌های موجود در افزونه‌های iCagenda و Balbooa Forms برای جوملا (Joomla) برای دستیابی به اجرای کد از راه دور (RCE) از طریق آپلود فایل دلخواه سوءاستفاده می‌کنند.

این آژانس این نقص‌ها را به عنوان اولویت حداکثر طبقه‌بندی کرده و به سازمان‌های فدرال دستور داده است که ظرف سه روز به‌روزرسانی‌های امنیتی یا اقدامات کاهشی را اعمال کنند.

آسیب‌پذیری‌های شناسایی‌شده

⚠️نقص اول با شناسه CVE-2026-48939، یک آسیب‌پذیری آپلود فایل دلخواه است که افزونه iCagenda را تحت تأثیر قرار می‌دهد. این افزونه برای ثبت و زمان‌بندی رویدادها و ایجاد تقویم استفاده می‌شود. مهاجم می‌تواند از این آسیب‌پذیری برای آپلود فایل‌های دلخواه از جمله اسکریپت‌های PHP در سرور وب استفاده کند که منجر به سرقت داده، نصب وب‌شل و به خطر افتادن کامل وب‌سایت می‌شود.

آسیب‌پذیری‌های شناسایی‌شده

⚠️نقص دوم با شناسه CVE-2026-56291، یک مشکل آپلود فایل دلخواه در افزونه Balbooa Forms است. این افزونه یک سازنده فرم کشیدن و رها کردن برای ایجاد فرم‌های تماس در سایت‌های جوملا با پشتیبانی از آپلود فایل است. به گفته CISA، این قابلیت می‌تواند برای آپلود انواع فایل‌های خطرناک مانند فایل‌های اجرایی استفاده شود که منجر به RCE و تصاحب کامل وب‌سایت می‌شود.

آسیب‌پذیری‌های شناسایی‌شده

⚠️بر اساس گزارش پلتفرم مدیریت و امنیت وب‌سایت mySites.guru، هر دو نقص قبل از انتشار وصله توسط فروشنده در حملات خودکار مورد سوءاستفاده قرار گرفته‌اند. برای iCagenda، حملات تنها چند ساعت قبل از انتشار نسخه 4.0.8 که CVE-2026-48939 را برطرف می‌کند، مشاهده شد. آسیب‌پذیری CVE-2026-56291 در Balbooa Forms به عنوان یک روز-صفر از 8 ژوئیه مورد سوءاستفاده قرار گرفت، یک روز قبل از انتشار وصله.

مدیران وب‌سایت‌هایی که از جوملا استفاده می‌کنند باید وجود افزونه‌های iCagenda و Balbooa Forms را بررسی کرده و اقدامات لازم را برای محافظت از دارایی‌های خود انجام دهند. این نقص‌ها در نسخه‌های iCagenda 4.0.8 و 3.9.15 (منتشر شده در 15-16 ژوئن) و Balbooa Forms نسخه 2.4.1 (منتشر شده در 9 ژوئیه) برطرف شده‌اند.

افتاتچک می‌تواند با ممیزی امنیتی، هاردنینگ سرورها، تست نفوذ و توسعه نرم‌افزار امن و سفارشی به کسب‌وکار شما کمک کند. برای مشاوره رایگان و سفارش پروژه با ما در تماس باشید.

منبع این مقاله:BleepingComputer

این مقاله توسط تیم افتاچک ترجمه و خلاصه‌سازی شده است.

بازگشت به صفحه اصلی