CVE-2026-102802
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Sourcerer (versions antérieures à 17.0.1) et Articles Anywhere (versions antérieures à 20.1.1) sont des extensions Joomla utilisées pour intégrer du code PHP et du contenu dynamique dans des articles. Normalement, Sourcerer limite l'exécution du code PHP en fonction du niveau de confiance de l'auteur. Cependant, une faille logique permet à Articles Anywhere d'extraire le contenu d'un article non fiable pour l'insérer dans un article fiable, trompant ainsi Sourcerer qui exécute le code avec l'autorité supérieure de l'article contenant.
Un attaquant disposant de privilèges d'administration ou d'auteur de haut niveau peut exploiter cette faille pour exécuter du code PHP arbitraire sur votre serveur. Cela lui confère un contrôle total sur le système, lui permettant de voler des données sensibles, de modifier le contenu du site ou de provoquer l'arrêt complet du service. L'attaque s'effectue via le réseau et est relativement facile à exécuter, à condition que l'attaquant possède déjà un compte avec des permissions suffisantes pour créer ou modifier des articles.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Joomla Extension - regularlabs.com - PHP code injection vector in Sourcerer extension < 17.0.1 when used with Articles Anywhere extension < 20.1.1 - Sourcerer can restrict PHP in articles according to article-author trust; the exact creator and last-editor rule varies by release. Articles Anywhere can insert the text or full layout of one article into another. In the affected combination, when Articles Anywhere processes an inclusion before Sourcerer and Force Content Triggers is off, the included article's Sourcerer code can be evaluated using the enclosing article's trusted identity rather than the included article's own identity. The resulting gap is between the authority of the article supplying the code and the authority used to decide whether to run it. Ordinary Articles Anywhere output is not itself the issue.