Phoca Gallery (Joomla): Gespeichertes Cross-Site Scripting durch HTML-Attribut-Injection
Zusammenfassung
Phoca Gallery, eine Bildgalerie-Erweiterung für Joomla, enthält in den Versionen 4.5.0 bis 6.1.5 eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS), verursacht durch HTML-Attribut-Injection. Ein authentifizierter Benutzer, der Galerieinhalte speichern kann, kann Skriptcode einschleusen, der in den Browsern anderer Benutzer ausgeführt wird, die den Inhalt aufrufen, inklusive Administratoren. Dies kann zu Session-Diebstahl oder unerwünschten administrativen Aktionen führen. Der CVSS-Vektor geht von keinen Berechtigungen aus, die Beschreibung verlangt jedoch ein authentifiziertes Konto, weshalb bereits Editor-Konten mit geringen Rechten ausreichen können.
Betroffen
- Phoca-Gallery-Erweiterung für Joomla, Versionen 4.5.0 bis 6.1.5
- Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag nur im genannten Bereich betroffen)
Behoben in
- Phoca Gallery 6.1.6 (Sicherheitsrelease für Joomla 6)
- Versionen für Joomla 4 und 5: Unbekannt. Die korrekte Fixversion vor einem Einsatz der 4.x- oder 5.x-Pakete bei phoca.cz bestätigen.
Umgehung
- Eine Content Security Policy (CSP) implementieren, um die Auswirkungen der Skriptausführung zu reduzieren. Die Schwachstelle wird dadurch nicht behoben.
- Bearbeitungsrechte für Galerien und Bilder auf vertrauenswürdige Benutzer beschränken.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden; dies wurde nicht mit einer gezielten Suche verifiziert.
- EPSS-Wert ist tief (etwa 0.0026).
Unsere Empfehlung
- Prüfen, ob Phoca Gallery installiert ist und welche Version verwendet wird, auch auf Joomla-4- und -5-Websites.
- Auf Phoca Gallery 6.1.6 auf Joomla 6 aktualisieren. Für Joomla 4 und 5 die korrekte Fixversion bei phoca.cz bestätigen.
- Editor- und Administratorkonten überprüfen und nicht benötigte entfernen.
- Falls das Patchen verzögert wird, eine Content Security Policy hinzufügen.
- Ungewöhnliche Inhaltsänderungen in Galerien überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Phoca Gallery 6.1.6 security release (vendor advisory) www.phoca.cz
- Phoca Gallery component download www.phoca.cz
- Phoca Gallery product page www.phoca.cz
- VulDB CVE-2026-102786 vuldb.com
- Vulners CVE-2026-102786 vulners.com
- Strix CVE-2026-102786 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.