8.2Hoch

CVE-2026-73337Joomla! Core - [20260807] - MFA Authentication Bypass in Joomla 4.0.0-5.4.7 and 6.0.0-6.1.2

Joomla! Project Joomla! CMS Veröffentlicht: 2026-08-18 19:04 (vor 2 Monaten)

Beschreibung

Joomla! Core - [20260807] - MFA Authentication Bypass in Joomla 4.0.0-5.4.7 and 6.0.0-6.1.2 - Insufficient state checks lead to a vector that allows to bypass 2FA checks.

Schwachstellentyp (CWE): CWE-287

Daten: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Wiedergegeben wie in der Quelle, auf Englisch.

Betroffene Produkte und Versionen

Hersteller	Produkt	Versionen
joomla	joomla!	4.0.0 – < 5.4.8
Joomla! Project	Joomla! CMS	4.0.0-5.4.6, 6.0.0-6.1.2

Referenzen und Patches

https://www.joomla.org/ productProduct
https://developer.joomla.org/security-centre/1074-20260807-core-mfa-authentication-bypass.html vendor-advisoryVendor Advisory

CPE-Treffer (NVD) (2)

cpe:2.3:a:joomla:joomla\!:*:*:*:*:*:*:*:* ≥ 4.0.0 < 5.4.8
cpe:2.3:a:joomla:joomla\!:*:*:*:*:*:*:*:* ≥ 6.0.0 < 6.1.3

CVSS-Score

8.2Hoch

Quelle: Joomla · CVSS 4.0

Angriffsvektor: Netzwerk
Komplexität: Niedrig
Voraussetzungen: Vorhanden
Rechte erforderlich: Keine
Benutzerinteraktion: Keine
Vertraulichkeit: Keine
Integrität: Hoch
Verfügbarkeit: Keine

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Alle Scores (3)

cna	CVSS 4.0	8.2Hoch
security@joomla.org	CVSS 4.0	8.2Hoch
nvd	CVSS 3.1	7.5Hoch

EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)

0.46%

höher als 41 % aller CVEs

CISA-Bewertung (SSVC)

Ausnutzung: none
Automatisierbar: no
Technische Auswirkung: partial

Zeitverlauf

ID reserviert2026-08-12
Veröffentlicht2026-08-18 19:04
Bei IP-DB eingegangen2026-10-24 23:49
Zuletzt aktualisiert2026-10-23 01:10

Vergeben von (CNA): Joomla
NVD-Status: Analyzed

In der Quelle ansehen: CVE.org · NVD

Benachrichtigung bei neuen Schwachstellen in diesen Produkten

E-Mail-Warnungen aktivieren

Kostenlos · mit Konto · jederzeit abbestellbar

Neue CVEs im selben Produkt — Joomla!

7.0Hoch

CVE-2026-90915 vor 1 Monat

Joomla! Core - [20260905] - Core - Arbitrary directory deletion via cache purge action in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3

Joomla! Project Joomla! CMS

Joomla! Core - [20260905] - Core - Arbitrary directory deletion via cache purge action in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3 -An improper validation of the cache group name allowed path traverals in the file storage of the caching layer, resulting in arbitrary d…

7.0Hoch

CVE-2026-92226 vor 1 Monat

Joomla! Core - [20260913] - Core - Improper ACL checks for varous webservice edit tasks in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3

Joomla! Project Joomla! CMS

Joomla! Core - [20260913] - Core - Improper ACL checks for varous webservice edit tasks in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3 - An improper access check allows unauthorized users to perform edit actions on otherwise uneditable items.

5.9Mittel

CVE-2026-92224 vor 1 Monat

Joomla! Core - [20260911] - Core - XSS in link toolbar layout in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3

Joomla! Project Joomla! CMS

Joomla! Core - [20260911] - Core - XSS in link toolbar layout in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3 - The link toolbar layout did not properly escape inputs, leading to an XSS vector.

6.9Mittel

CVE-2026-90907 vor 1 Monat

Joomla! Core - [20260902] - Core - Unauthorized user account creation via profile.save controller in Joomla 1.5.0-5.4.8, 6.0.0-6.1.3

Joomla! Project Joomla! CMS

Joomla! Core - [20260902] - Core - Unauthorized user account creation via profile.save controller in Joomla 1.5.0-5.4.8, 6.0.0-6.1.3 - The profile.save controller did not check the login state of a user, allowing the creation of guest-level users on sites wit…

5.9Mittel

CVE-2026-90914 vor 1 Monat

Joomla! Core - [20260904] - Core - XSS in the generic media output layouts in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3

Joomla! Project Joomla! CMS

Joomla! Core - [20260904] - Core - XSS in the generic media output layouts in Joomla 4.0.0-5.4.8, 6.0.0-6.1.3 - Lack of escaping leads to an XSS vulnerability in the generic audio and video output layouts.

7.1Hoch

CVE-2026-92231 vor 1 Monat

Joomla! Core - [20260915] - Core - XSS filter bypass in InputFilter via HTML5 entity decode mismatch in Joomla 1.5.0-5.4.8, 6.0.0-6.1.3

Joomla! Project Joomla! CMS; Joomla! Project Joomla! Framework Filter package

Joomla! Core - [20260915] - Core - XSS filter bypass in InputFilter via HTML5 entity decode mismatch in Joomla 1.5.0-5.4.8, 6.0.0-6.1.3 - The checkAttribute method normalized an attribute value before testing it against the "javascript:" scheme regex, however…