Élevée CVSS 8.9
CVE-2026-60026
Joomla Extension - themexpert.com - Authenticated PHP code execution in Quix Page Builder < 6.2.1 - The Joomla extension Quix Page Builder Pro is vulnerable to an authenticated PHP code execution. Authenticated builder user (core.create/core.edit) could inject PHP tags in element content, that got executed via view-cache include(). Requires caching on (default).
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, avec un compte privilégié et sans action de la victime. Elle dépend en outre de circonstances que l’attaquant ne maîtrise pas.
- Impact
- Un attaquant peut lire des données sensibles, modifier ou détruire des données et mettre le service hors ligne. L’atteinte déborde du composant vulnérable vers d’autres parties du système.
- Faiblesse
- L’application interprète du code fourni par l’attaquant, qui s’exécute avec ses privilèges.
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ intégrer au prochain cycle de correctifs.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.