CVE-2026-49048: Injeção de SQL no JoomCCK da Joomcoder via tarefa do controlador front-end
A CVE-2026-49048 afeta a extensão JoomCCK para Joomla, da Joomcoder, em que uma tarefa do controlador front-end concatena um parâmetro de requisição fornecido pelo usuário em duas instruções SQL, sem escape ou parametrização. A CNA informa pontuação CVSS 3.1 de 9.8 (crítica) e pontuação 4.0 de 8.7. Não há exploração confirmada nas fontes consultadas, e o registro não lista versão corrigida.
Visão geral
O JoomCCK é uma extensão para Joomla desenvolvida pela Joomcoder. Segundo o registro, uma tarefa do controlador front-end monta duas instruções SQL ao inserir diretamente na consulta um parâmetro de requisição fornecido pelo usuário, sem escape ou parametrização. Isso corresponde à fraqueza CWE-89 (Injeção de SQL) indicada no registro.
Impacto
- A CNA atribui pontuação 9.8 pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Pelo vetor, isso indica acesso pela rede, baixa complexidade, nenhum privilégio ou interação do usuário exigidos e alto impacto em confidencialidade, integridade e disponibilidade (inferência a partir do vetor).
- O contato de segurança da Joomla também informa pontuação 4.0 de 8.7.
- O registro não descreve quais dados poderiam ser expostos nem quais ações poderiam ser realizadas. Essa informação é desconhecida.
Produtos e versões afetados
- Produto listado: Joomcoder Joomcck.
- Versões listadas: da 1.0 até a 6.4.0, inclusive.
- O registro não detalha edições ou datas de build dentro desse intervalo. Consulte o site do fornecedor para informações de versão.
Status de exploração
- Esta CVE não aparece no catálogo KEV da CISA no registro analisado. Não há exploração confirmada nas fontes consultadas.
- O registro informa probabilidade EPSS de 0.00564 e percentil de 0.45376.
Correção e mitigação
- O registro não traz versão corrigida nem referência de correção do fornecedor. Isso deve ser tratado como desconhecido, e não como prova de que não exista correção.
- Entre em contato com a Joomcoder pelo site para obter informações de atualização e confirme a versão do JoomCCK instalada.
- Enquanto uma correção não for verificada, considere restringir a exposição da funcionalidade front-end afetada, avaliar se a extensão ainda é necessária e manter a conta de banco de dados usada pelo site com o menor privilégio possível.
Orientações de detecção
- Faça um inventário dos sites Joomla com JoomCCK instalado e registre suas versões.
- Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou malformados enviados aos endpoints front-end do JoomCCK.
- Observe erros de banco de dados que mencionem sintaxe de consulta inesperada, pois podem indicar tentativas de injeção.
Limitações das informações disponíveis
- O registro não fornece versão corrigida, evidência de exploração, condições detalhadas de exploração nem aviso do fornecedor além da página do produto.
- O componente ou endpoint específico não é identificado.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-06-28), por isso os valores do EPSS devem ser interpretados com cautela.
Perguntas frequentes
Esta CVE está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais versões do JoomCCK são afetadas?
O registro lista versões da Joomcoder Joomcck da 1.0 até a 6.4.0, inclusive. Como o registro não informa versão corrigida, confirme a versão instalada com o fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.