FICHE CVE

CVE-2026-85196

Publiée le 2026-09-14 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

Les sites Joomla utilisant les extensions « Articles Anywhere » (version < 20.0.0) ou « Users Anywhere » (version < 2.1.0) sont affectés par une faille de cross-site scripting (XSS) réfléchie. Un attaquant peut exécuter des scripts malveillants dans le navigateur d'un visiteur pour voler des cookies de session ou rediriger les utilisateurs vers des pages frauduleuses. Cela ne nécessite aucune authentification ni privilège particulier, mais requiert qu'une victime clique sur un lien spécialement conçu et fourni par l'attaquant.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Cross-site scripting (XSS) · CWE-79

Publiée2026-09-14

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security@joomla.org

Description officielle du NVD (en anglais)

Joomla Extension - regularlabs.com - Reflected XSS in Articles Anywhere extension for Joomla < 20.0.0, Users Anywhere extension for Joomla < 2.1.0 - Articles Anywhere Pro and Users Anywhere Pro return values from request-input data tags without making them safe for the context in which the tag is used. Joomla's string input filter does not make the same value safe for HTML text, an HTML attribute and a URL. A visitor-controlled request value can therefore become an executable URL or a new event attribute in output configured by a site author.