iCagenda Joomla-Erweiterung: Gespeichertes Cross-Site-Scripting (XSS)
Zusammenfassung
Die Event-Management-Erweiterung iCagenda für Joomla (Versionen 3.2.1 bis 4.0.16) enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle im URL-Typ-Feld für Events. Ein Angreifer mit niedrigen Berechtigungen und einer Interaktion durch einen Benutzer kann bösartigen Script-Code speichern, der im Browser anderer Benutzer ausgeführt wird, etwa von Administratoren oder Mitarbeitenden, die Event-Daten im Backend ansehen. Der CVSS-4.0-Basiswert beträgt 8.6 (Hoch), mit hohen Auswirkungen auf Vertraulichkeit und Integrität.
Betroffen
- iCagenda 3.2.1 bis 4.0.16 (Joomla-Erweiterung, icagenda.com)
- Der CNA-Titel nennt 4.0.8 bis 4.0.12, die Produktangabe und die NVD-Beschreibung nennen jedoch 3.2.1 bis 4.0.16.
Behoben in
- iCagenda 4.0.17 (Joomla 4, 5 und 6)
- iCagenda PRO 3.9.17 (Joomla 3)
- Unbekannt: ob eine kostenlose Joomla-3-Version denselben Fix enthält.
Umgehung
Unbekannt. Für diese CVE ist kein Workaround des Herstellers bekannt.
- Übergangsmassnahme aus einer verwandten iCagenda-XSS-Schwachstelle (CVE-2026-75948): Das Einreichen von Events im Frontend auf vertrauenswürdige Benutzergruppen beschränken, bis eine gepatchte Version installiert ist. Für CVE-2026-102790 ist dies nicht bestätigt.
Ausnutzung
- Laut OffSeq nicht als aktiv ausgenutzt bekannt. Im CISA-KEV-Katalog nicht gelistet (Strix).
- In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.
- EPSS: 0.28 % (Perzentil 21).
Unsere Empfehlung
- Alle Joomla-Websites mit iCagenda inventarisieren und die installierte Version prüfen.
- Auf iCagenda 4.0.17 aktualisieren bzw. bei Joomla 3 auf PRO 3.9.17. Die Position zur kostenlosen Joomla-3-Version beim Hersteller bestätigen.
- Prüfen, ob das öffentliche Formular für Event-Einreichungen aktiviert ist, und dieses auf vertrauenswürdige Benutzergruppen beschränken.
- Event-Daten auf unerwartete Script-Inhalte prüfen und Backend-Anmeldungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- iCagenda vendor website www.icagenda.com
- iCagenda changelog (vendor) www.icagenda.com
- JoomliC iCagenda download page www.joomlic.com
- Positive Technologies advisory PT-2026-127210 vulners.com
- Vulners CVE record CVE-2026-102790 vulners.com
- VulDB entry 427963 vuldb.com
- OffSeq threat radar entry radar.offseq.com
- Strix CVE entry www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.