CVE-2016-9838
Publiée le 2016-12-16 · Dernière modification le 2026-06-17
Les installations de Joomla! antérieures à la version 3.6.5 sont vulnérables à une faille dans la manière dont les données du formulaire d'inscription sont traitées lors d'erreurs de validation. Un attaquant distant non authentifié peut exploiter cette faille en soumettant un formulaire d'inscription spécifiquement conçu pour prendre le contrôle du compte d'un utilisateur existant et modifier son mot de passe ou ses permissions de groupe. Cette attaque est relativement facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, au-delà d'un accès réseau au site.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in components/com_users/models/registration.php in Joomla! before 3.6.5. Incorrect filtering of registration form data stored to the session on a validation error enables a user to gain access to a registered user's account and reset the user's group mappings, username, and password, as demonstrated by submitting a form that targets the `registration.register` task.