iCagenda Unrestricted Upload of File with Dangerous Type Vulnerability
Utnyttes aktivt (CISA KEV)
Kritisk 9.8 CVSS 3.1
Beskrivelse
A vulnerability in the iCagenda extension for Joomla allows the upload of arbitrary files in the file attachment feature, ultimately resulting in PHP code upload and execution.
Beskrivelsen gjengis slik kilden har publisert den, på engelsk.
Nøkkelfakta
Publisert
2026-06-20
Sist endret
2026-07-11
Tildelt av
security@joomla.org
CVSS-vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Scoret av
nvd@nist.gov (NVD Primary)
Sannsynlighet for utnyttelse
24.3 %
høyere enn 98 %
av alle kjente sårbarheter
EPSS, neste 30 dager, modell v2026.06.15
Rettelse finnes
Ikke registrert hos kildene
Aktivt utnyttet
CISA førte denne sårbarheten inn i katalogen over kjente utnyttede
sårbarheter 2026-07-10,
med utbedringsfrist 2026-07-13 for amerikanske føderale etater.
Pålagt tiltak: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
The product allows the upload or transfer of dangerous file types that are automatically processed within its environment.
Angrepsteknikker
Utledet gjennom svakhetstypen: CVE til CWE til CAPEC til ATT&CK.
Dette viser hvilke teknikker svakhetsklassen historisk brukes til.
Det er ikke en påstand om at nettopp denne sårbarheten er utnyttet slik.
