OrdaSoft Joomla CCK: Unauthentifizierte SQL-Injection über die Datensatzsortierung
Zusammenfassung
OrdaSoft Joomla CCK (OS CCK), eine Drittanbieter-Erweiterung für Joomla, validiert die vom Benutzer gelieferte Sortierspalte für Datensätze nicht korrekt. Ein unauthentifizierter Angreifer aus dem Netzwerk kann über diesen Parameter SQL-Anweisungen einschleusen und so Datenbankinhalte lesen oder verändern. Betroffen sind Joomla-Websites mit OS CCK in den Versionen 1.0.0 bis 8.3.15; ein öffentlicher Proof of Concept wurde gemeldet.
Betroffen
- OrdaSoft Joomla CCK (OS CCK, com_os_cck) Versionen 1.0.0 bis 8.3.15
- Joomla Core ist nicht betroffen; Websites ohne installiertes OS CCK sind nicht betroffen
Behoben in
- Version 8.3.16 oder neuer
- Der Update-Server des Herstellers bietet möglicherweise weiterhin eine verwundbare Version an; die installierte Manifest-Version manuell prüfen
Umgehung
- Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.
- Falls OS CCK nicht benötigt wird, die Erweiterung deinstallieren.
- Zugriff auf Admin- und Frontend-Komponenten einschränken, soweit der Betrieb dies zulässt.
Ausnutzung
- Nicht als ausgenutzt bekannt; laut den Quellen nicht im CISA-KEV-Katalog.
- Ein öffentlicher Proof of Concept wurde gemeldet (Packetstorm-Eintrag vom 10. Okt. 2026).
- Ein Nuclei-Erkennungstemplate ist als Pull Request vorhanden; der Merge-Status ist unbekannt.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob OS CCK auf einer Joomla-Website installiert ist, und die installierte Manifest-Version auslesen.
- Manuell auf Version 8.3.16 oder neuer aktualisieren; nicht auf den automatischen Updater verlassen.
- CVE-2026-102427 gleichzeitig patchen, da es im selben Release behoben wird.
- Falls nicht benötigt, OS CCK deinstallieren.
- Web-Server- und Datenbank-Logs auf SQL-Fehlermeldungen und ungewöhnliche Anfragen prüfen.
- Aus ddem Internet erreichbare Installationen wegen des öffentlichen Proof of Concept als dringend behandeln.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (2 Repositories)
murrez/CVE-2026-102428 · MRdark-ops/sqli-cve-2026-102428
Quellen der Recherche
- CVE-2026-102428 threatint record cve.threatint.com
- OrdaSoft website www.ordasoft.com
- Packetstorm entry PACKETSTORM:235077 vulners.com
- Nuclei template pull request 17421 github.com
- mysites.guru advisory blog mysites.guru
- HOL Guard CVE-2026-102428 hol.org
- Strix CVE-2026-102428 www.strix.ai
- OpenCVE CVE-2026-102427 (related) app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.