CVE-2026-102801
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Users Anywhere antérieures à la 3.0.1 pour Joomla sont concernées. Cette extension permet aux administrateurs du site d'afficher des données utilisateur à l'aide de balises spécifiques telles que {user} ou [email]. La faille provient du fait que des attributs ajoutés à l'intérieur de ces balises peuvent outrepasser les paramètres de confidentialité globaux, forçant ainsi le plug-in à afficher des noms d'utilisateur ou des adresses e-mail, même lorsque l'administrateur a explicitement désactivé cet affichage.
Un attaquant disposant de privilèges administratifs peut utiliser cette vulnérabilité pour divulguer des informations de contact sensibles, affectant ainsi la confidentialité de votre base d'utilisateurs. Comme la modification des balises de contenu nécessite des permissions de haut niveau, le risque est limité aux personnes internes ou aux comptes déjà compromis. L'exploitation est facile à réaliser via un réseau, puisqu'elle nécessite simplement l'ajout d'un attribut spécifique à une balise dans le contenu du site.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Joomla Extension - regularlabs.com - Exposure of Sensitive Information to Unauthorized Actor in Users Anywhere extension for Joomla < 3.0.1 - An administrator can disable output of user email addresses or usernames in Users Anywhere. In affected code, attributes supplied inside a {user} or [email] / [username] tag can change those plugin settings for that render. For example, [email allow_output_email="1"] can display an email address even when Allow output of email is set to No. This bypasses the personal-data output setting; it does not bypass a separate policy that disallows Users Anywhere tags from the content source altogether.