JC Tables (Joomla): Unauthentifizierte SQL-Injection in Lese- und Schreibabfragen
Zusammenfassung
JC Tables, eine Joomla-Datentabellen-Erweiterung von JoomCode, enthält im Frontend-CRUD-API eine unauthentifizierte SQL-Injection. Tabellennamen, Spaltennamen und Werte aus Request-Parametern werden ohne Authentifizierung oder Token-Prüfung in SQL-Abfragen eingefügt. Ein unauthentifizierter Angreifer kann beliebige Tabellen der Joomla-Datenbank lesen, inklusive Passwort-Hashes von Benutzern, sowie Tabellen beschreiben; die Forschung beschreibt einen Weg zur Remote Code Execution als Benutzer des Webservers.
Betroffen
- JCTables-Erweiterung für Joomla, Versionen vor 1.21.1 (NVD- und CNA-Bereich 1.0.0 bis 1.20.0; untere Grenze nicht unabhängig verifiziert)
- Vom Forscher auf 1.10.31.2 (Free-Edition) bestätigt; kostenpflichtige Editionen nicht dokumentiert
Behoben in
- Behoben in JCTables 1.21.1 (veröffentlicht am 05.08.2026), die eine Token-Prüfung für datenverändernde Frontend-Tasks ergänzt
- Unbekannt, ob ein späteres Release 1.21.x existiert; Download-Seite des Herstellers prüfen
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- JCTables deinstallieren, falls es nicht benötigt wird.
- Die Frontend-Endpunkte der Komponente (option=com_jctables) auf dem Webserver oder WAF blockieren; vorher prüfen, dass keine benötigten Funktionen beeinträchtigt werden.
Ausnutzung
- Ein öffentlicher Proof of Concept ist auf GitHub veröffentlicht; laut Beschreibung demonstriert er das Lesen von Daten.
- Laut den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gemeldet.
- Nicht im CISA KEV gelistet. CISA SSVC bewertet die Ausnutzung als none, die Automatisierbarkeit als yes und die technische Auswirkung als total.
Unsere Empfehlung
- Prüfen, ob JCTables installiert ist und welche Version verwendet wird; sofort auf 1.21.1 oder neuer aktualisieren.
- Falls eine betroffene Version aus dem Internet erreichbar war, Webprotokolle auf unauthentifizierte Anfragen an com_jctables prüfen und die Website als potenziell kompromittiert betrachten.
- Nach dem Patchen Administrator- und Datenbank-Zugangsdaten von Joomla erneuern, falls eine Exposition möglich war.
- JCTables entfernen, falls es nicht benötigt wird.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
murrez/CVE-2026-76570
Quellen der Recherche
- VulnCheck research: JCTables for Joomla www.vulncheck.com
- Original researcher write-up chocapikk.com
- VulnCheck status update docs.vulncheck.com
- CVE record mirror (OpenCVE) app.opencve.io
- Public proof of concept (GitHub) github.com
- JoomCode vendor website www.joomcode.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.