CVE-2026-105602

Les versions de Helix Ultimate antérieures à la 2.2.11, un framework de modèles populaire pour les sites Joomla, contiennent une faille dans le champ « Mega Menu Badge Text ». Le logiciel ne nettoie pas correctement les entrées utilisateur avant de les enregistrer dans la base de données. Cela permet à un utilisateur d'injecter du code JavaScript malveillant qui est stocké sur le serveur et diffusé aux autres visiteurs.

Un attaquant disposant de privilèges de compte de bas niveau peut exécuter cette attaque via le réseau sans conditions techniques particulières. Si un administrateur du site ou un visiteur consulte le menu concerné, le script s'exécute dans son navigateur, permettant potentiellement à l'attaquant de voler des cookies de session ou de détourner des comptes administratifs. Bien que l'attaque nécessite qu'un utilisateur connecté déclenche l'envoi et qu'une victime consulte la page, l'impact sur la confidentialité et l'intégrité est élevé.