2026/08/18付けでJoomla! 6.1.3と5.4.8のセキュリティ・バグフィックスがリリースされました。
概要
2026/08/18付けでJoomla! 6.1.3と5.4.8のセキュリティ・バグフィックスがリリースされました
- Joomla 6.1.3 & 5.4.8 Security & Bugfix Release | Joomla!
- 10件のセキュリティフィックスと19件の[J5.4]バグフィックス、1件の[J6.1]バグフィックスが適用されています
- セキュリティフィックスで注目される項目は次のとおりです
- MFA(多要素認証)バイパスの修正
- SHTMLファイルの無制限アップロードの解消
- Webサービスやバッチ処理における広範なACL(アクセス制御)の不備修正
- レスポンスヘッダインジェクションの修正
- CORSの検証不備の修正
- Schema.org出力を介したXSSの防止
- [J6.1]バグフィックスはTinyMCEのボスニア語の言語ファイルに関する修正です
MFA(多要素認証)バイパスの修正
- MFA(多要素認証)バイパスの修正はJoomla! 6.1.1でも実施されていますが、新たな修正が行われました
SHTMLファイルの無制限アップロードの解消
- 不正なスクリプトファイルがアップロードされるリスクが解消されました
Webサービスやバッチ処理における広範なACL(アクセス制御)の不備修正
- カテゴリ、カスタムフィールド、データ操作を行うWebサービスエンドポイントにおける不適切なACLチェックが修正されました
- バッチコピー処理におけるACLチェックの不備が修正されました
レスポンスヘッダインジェクションの修正
- 攻撃者がリダイレクトURLパラメータ等を介して偽のレスポンスヘッダを注入する攻撃リスクが解消されています
CORSの検証不備の修正
- 不適切なCORSオリジン検証が修正されました
- CORS制御は異なるドメイン(オリジン)からのAPIアクセスやリクエストを管理するための仕組みです
- そのCORS制御の中核を担うのがAccess-Control-Allow-Origin ヘッダーですが、その検証処理に不備があり、サブドメインやプロトコル、ポート番号を含めた完全一致検証を行うロジックへ変更されました
Schema.org出力を介したXSSの防止
- schema.orgの出力部分や、連絡先データをインジェクションする際の不適切なチェックに起因するXSS（クロスサイトスクリプティング）の脆弱性が解消されました