速修复！Joomla 漏洞可导致RCE攻击

Joomla 内容管理系统中存在5个漏洞，可被用于在易受攻击网站上执行任意代码。

这些漏洞影响多个 Joomla 版本，已在 5.0.3和4.4.3 中修复。这些漏洞概述如下：

Joomla 在安全公告中提到，CVE-2024-21725造成的风险最为严重，可利用性也较高。

远程代码执行风险

CVE-2024-21726影响 Joomla的核心过滤器组件，严重性和可利用性均为中等，然而Sonar公司的漏洞研究员 Stefan Schiller 提醒称它可导致远程代码执行后果。

Shiller 提到，“攻击者可利用该漏洞，诱骗管理员点击恶意链接，从而获得远程代码执行权限。”XSS漏洞可导致攻击者将恶意脚本注入向其它用户发送的内容中，一般可导致通过受害者浏览器执行不安全的代码。

利用该漏洞要求用户交互。攻击者需要诱骗具有管理员权限的用户点击恶意链接。尽管用户交互降低了该漏洞的严重性，但攻击者可提出正确诱饵，他们可以发动所谓的“spray-and-pray”攻击，即更多受众被暴露给恶意链接，寄望于某些用户会点击这些链接。

Sonar 公司并未分享该漏洞的详情以及利用详情，从而可使更多的 Joomla 管理员能够应用可用的安全更新。Shiller 表示，“虽然我们目前并未披露技术详情，但我们希望强调立即采取措施缓解该风险的重要性。”他强调称所有 Joomla 用户均应升级至最新版本。