CVE-2026-48902

Joomla! — degradacja szyfrowania transportu w linkach resetowania hasła i nazwy użytkownika

CVSS 9.8pub. 2026-05-26upd. 2026-06-02

Podatność w Joomla! powoduje generowanie linków resetowania hasła i nazwy użytkownika z użyciem niezaszyfrowanego protokołu HTTP, nawet gdy witryna działa przez HTTPS. Stanowi to poważne zagrożenie, ponieważ linki zawierające wrażliwe tokeny mogą zostać przechwycone przez atakującego.

▸ Pokaż oryginał (EN)

The password and username reset features created plain http links for https connections if the "Force SSL" flag wasn't explicitly set.

🤖 Analiza AI

Jak działa

Mechanizm resetowania hasła i nazwy użytkownika w Joomla! tworzy linki z prefiksem HTTP zamiast HTTPS w przypadku połączeń szyfrowanych, jeśli flaga 'Force SSL' nie jest jawnie ustawiona w konfiguracji. Oznacza to, że tokeny resetowania są przesyłane niezaszyfrowanym kanałem, co umożliwia ich przechwycenie technikami man-in-the-middle. Atakujący monitorujący ruch sieciowy może zdobyć token i przejąć kontrolę nad kontem użytkownika.

Skutki

Atakujący może przechwycić token resetowania hasła lub nazwy użytkownika przesłany przez niezaszyfrowane łącze HTTP i uzyskać nieautoryzowany dostęp do konta dowolnego użytkownika, który zainicjował proces resetowania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://developer.joomla.org/security-centre/1050-20260518-core-transport-encryption-downgrade-for-password-and-username-reset-links.html). Tymczasowo zaleca się jawne włączenie flagi 'Force SSL' w konfiguracji Joomla!, aby wymusić generowanie linków resetowania z użyciem HTTPS.

Kogo dotyczy

Joomla! — wersje wskazane w referencjach producenta (biuletyn bezpieczeństwa 20260518)

Uwagi

Podatność dotyczy wyłącznie instalacji Joomla!, w których flaga 'Force SSL' nie jest jawnie skonfigurowana, mimo działania witryny przez HTTPS. Włączenie tej flagi stanowi doraźne obejście problemu.