DJ-HelpfulArticles: Nicht authentifizierte gespeicherte XSS im Administrationsbereich
Zusammenfassung
DJ-HelpfulArticles, eine kostenlose Joomla-Erweiterung für die Bewertung von Artikeln, speichert das vom Client gelieferte Feld ip aus seinen Bewertungs-Handlern ungeprüft und gibt es im Administrationsbereich ohne Escaping aus. Ein nicht authentifizierter Angreifer kann über com_ajax eine manipulierte Bewertung senden, und das Skript wird ausgeführt, sobald ein Administrator die Übersicht Helpful articles aufruft. Dies kann zur Übernahme von Sitzungen oder Administratorkonten führen. Der CNA bewertet die Schwachstelle mit CVSS 4.0 8.7 (Hoch), wobei eine Interaktion durch einen Administrator erforderlich ist.
Betroffen
- DJ-HelpfulArticles 1.0.0 bis 1.2.0 (Joomla-Erweiterung, gemäss CNA-Eintrag)
Unbekannt, ob andere Versionen betroffen sind.
Behoben in
- Version 1.3.0 oder neuer
Die Herstellerseite verweist auf den Beitrag "DJ-HelpfulArticles 1.3: Security Update"; das vollständige Advisory wurde nicht überprüft.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround.
- Falls sich ein Update nicht sofort einspielen lässt, den Zugriff auf den Joomla-Administrationsbereich einschränken (IP-Allowlist oder VPN).
- Erweiterung entfernen oder deaktivieren, falls sie nicht benötigt wird, und gespeicherte Bewertungen auf HTML- oder Skriptinhalte im Feld ip prüfen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Stand 31. Okt. 2026 wurde kein öffentlicher Proof of Concept gefunden.
- EPSS: 0.39 % (Perzentil 33).
Unsere Empfehlung
- DJ-HelpfulArticles auf allen Joomla-Systemen auf Version 1.3.0 oder neuer aktualisieren.
- Bis zur Behebung den Zugriff auf den Administrationsbereich einschränken und die Erweiterung deaktivieren, falls sie ungenutzt ist.
- Bestehende Bewertungseinträge auf Skript- oder HTML-Inhalte im Feld ip prüfen und verdächtige Einträge als mögliche Kompromittierungsversuche behandeln.
- Öffentlich erreichbare Systeme mit Version 1.2.0 oder älter und Administratoren, die im Backend arbeiten, priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulDB entry 427160 vuldb.com
- Strix CVE record CVE-2026-102800 www.strix.ai
- ThreatInt CVE record CVE-2026-102800 cve.threatint.com
- OffSeq threat radar entry radar.offseq.com
- MySites.guru vulnerability database mysites.guru
- DJ-Extensions homepage dj-extensions.com
- DJ-HelpfulArticles release announcement dj-extensions.com
- NVD CVE-2024-27183 (earlier XSS in same product) nvd.nist.gov
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.