2026/07/07付けでJoomla! 6.1.1と5.4.6のセキュリティ・バグフィックスがリリースされました。
概要
- 2026/05/26付けでJoomla! 6.1.1と5.4.6のバグフィックスがリリースされました
- Joomla 6.1.2 & 5.4.7 Security & Bugfix Release | Joomla!
- 12件のセキュリティフィックスと29件の[J5.4]バグフィックス、7件の[J6.1]バグフィックスが適用されています
- セキュリティフィックス「アクセス制御の欠陥(Incorrect Access Control)」と「クロスサイトスクリプティング(XSS)」に関する複数の脆弱性が修正されています
- バグフィックスでは軽微な動作不良（メディア管理のUI挙動や言語処理の微修正など）が修正されています
アクセス制御の欠陥(Incorrect Access Control)
Webservice(API)エンドポイントのアクセス制御強化
Webサービス経由でアクセス可能なエンドポイントにおいて、本来アクセス制限されるべきデータや操作に対して権限検証が正しく行われていなかった脆弱性が修正されました。
Webservice エンドポイントとは、「システム(プログラム)同士がデータをやり取りするための『専用の窓口=プログラム用のURL』」のことです。外部アクセスに対する脆弱性を修正しています。
- Webservice エンドポイントにおける不完全なアクセス制御の修正
- Webservice エンドポイントにおけるアクセス制御の修正
管理機能・コンポーネントにおけるアクセス権限の厳格化
管理画面内の各種機能において、未承認のユーザーが設定変更や情報取得を行えてしまうリスクに対処しました。
- ワークフローおよびモジュール管理における権限チェックの強化
- 連絡先(vCard)ダウンロード機能における不完全なアクセス制限の修正
各種入力・表示箇所における XSS(クロスサイトスクリプティング)対策
悪意のあるスクリプトを挿入・実行されるリスクを低減するため、入出力処理のエスケープや検証が強化されました。
XSS(クロスサイトスクリプティング)とは、「Webサイトの中に、悪意のあるプログラム(スクリプト)を密かに埋め込まれて実行されてしまう攻撃方法(またはその脆弱性)」のことです。
- 多要素認証(MFA) 設定管理画面におけるXSSの修正
- テンプレート管理および 拡張機能インストーラーでのスクリプト注入対策
- 各種モーダルウィンドウや汎用画像出力レイアウトでの処理改善
- 言語オーバーライド機能におけるXSSリスクの排除