OrdaSoft Joomla CCK: Unauthentifizierte Remote Code Execution über Datei-Upload

Zusammenfassung

OrdaSoft Joomla CCK bis Version 8.3.15 enthält eine Schwachstelle beim Datei-Upload über die Frontend-Route task=getContent, die keine Authentifizierung erfordert. Die Erweiterungs-Positivliste für Dateiendungen ist auskommentiert, daher kann ein Angreifer eine als Bild getarnte, per PHP ausführbare Datei hochladen und Code auf dem Webserver ausführen. Jede aus dem Internet erreichbare Joomla-Website mit installierter Komponente ist betroffen. Der CVSS-v4.0-Basiswert beträgt 10.0 (kritisch), und ein öffentlicher Proof of Concept existiert.

Betroffen

• OOrdaSoft Joomla CCK (Komponente com_os_cck) Versionen 1.0.0 bis 8.3.15
• Standardkonfiguration gemäss CVE-Eintrag: Nicht betroffene Versionen sind nicht aufgeführt

Behoben in

• Version 8.3.16 (gemäss Titel des CVE-Eintrags; kein Herstellerhinweis zur Bestätigung gefunden)

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme verfügbar.
• Falls die Komponente nicht benötigt wird, deinstallieren oder deaktivieren.
• Öffentlichen Zugriff auf die Frontend-Routen der Komponente auf dem Webserver oder am WAF blockieren, bis das Update eingespielt ist.
• Zur Verteidigung in der Tiefe die PHP-Ausführung in Upload-Verzeichnissen blockieren.

Ausnutzung

• Öffentlicher Proof of Concept: ja, auf GitHub veröffentlicht und in PoC-Archiven aufgeführt.
• Bekannte Ausnutzung in freier Wildbahn: keine bestätigten Meldungen.
• CISA-SSVC-Bewertung im CVE-Eintrag: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Prüfen, ob auf Joomla-Websites com_os_cck läuft, und die installierte Version im Komponenten-Manifest feststellen.
• So rasch wie möglich auf Version 8.3.16 oder neuer aktualisieren.
• Webroots auf unerwartete PHP-Dateien prüfen und neue Uploads überprüfen.
• Zugriff auf die Komponente bis zur Aktualisierung einschränken oder blockieren.
• Auch CVE-2026-102428 (unauthentifizierte SQL-Injection) patchen, die im selben Release behoben ist.
• Webserver-Logs auf Anfragen an die Frontend-Routen der Komponente überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-102427

Quellen der Recherche

• CVE record summary (OpenCVE) app.opencve.io
• OrdaSoft (vendor website) www.ordasoft.com
• PoC archive (pocbit.org) pocbit.org
• Exploitation status (HOL Guard) hol.org
• Mitigation notes (CyberStrike) cyberstrike.io
• Related flaw CVE-2026-102428 (HOL Guard) hol.org
• Joomla CCK product page (OrdaSoft) ordasoft.com
• Joomla CCK template documentation (OrdaSoft) ordasoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:45.