Zwischen dem 19. und 21. August 2026 veröffentlichte das Joomla-Projekt gleich zehn Sicherheitslücken in zwei Erweiterungen des Herstellers YOOtheme: acht in der Inhaltskomponente ZOO und zwei im Template-Baukasten YOOtheme Pro. Eine der ZOO-Lücken erreicht die Höchstwertung 10,0 auf der CVSS-Skala, mit der Fachleute den Schweregrad von Sicherheitslücken bewerten. Wer eine der beiden Erweiterungen einsetzt, sollte deshalb jetzt handeln.
Die schwerste Lücke betrifft das Hochladen von Bildern über Formulare im Frontend. Laut der Plattform mySites.guru, die die Lücken gemeldet hat, reicht dafür ein simpler Trick: „an anonymous visitor uploads a PHP file, tells ZOO it is a JPEG, and then requests it in a browser to run it“. Ein Besucher ohne jedes Konto kann also eine Programmdatei als Bild tarnen, hochladen und auf dem Server ausführen – und damit im schlimmsten Fall die gesamte Website übernehmen.
Möglich wird das, weil das Bildelement laut NVD-Eintrag nur prüft, welchen Dateityp der Absender selbst angibt. Diese Angabe kann ein Angreifer jedoch frei wählen, deshalb schützt die Prüfung nicht. Betroffen sind Websites, die ein öffentliches Einreichungsformular mit Bildfeld nutzen. Dort braucht ein Angreifer weder Zugangsdaten noch ein Konto – wer das Formular im Browser aufrufen kann, kann es versuchen. mySites.guru hat die Lücke auf einer Testinstallation mit Joomla 5.4.7 erfolgreich nachgestellt.
Dazu kommen sieben weitere Lücken. Bei einer SQL-Injection schleust ein Angreifer eigene Befehle in die Datenbankabfragen der Website ein; bei gespeichertem Schadcode, auch Stored XSS genannt, landet ein Skript etwa in einem Kommentar und läuft anschließend bei anderen Besuchern. YOOtheme hat die Lücken schrittweise geschlossen, sodass erst Version 4.1.66 alle acht behebt:
- Dateiupload mit Codeausführung ohne Anmeldung, CVSS 10,0 – behoben in 4.1.64
- SQL-Injection ohne Anmeldung, CVSS 9,3 – behoben in 4.1.64
- Weiterleitung auf fremde Seiten (Open Redirect), CVSS 5,1 – behoben in 4.1.64
- Änderung von Schlagwörtern ohne Anmeldung, CVSS 6,9 – behoben in 4.1.65
- Gespeicherter Schadcode über Kommentare und Formularfelder, CVSS 8,6 – behoben in 4.1.66
- Auflistung von Verzeichnissen über das Galerie-Element, CVSS 6,9 – behoben in 4.1.66
- Schadcode über einen Weiterleitungsparameter (Reflected XSS), CVSS 5,3 – behoben in 4.1.66
- Fehlender Schutz gegen untergeschobene Aktionen (CSRF), CVSS 4,6 – behoben in 4.1.66
Gerade diese Staffelung ist tückisch: Wer bereits auf 4.1.64 aktualisiert hat, hat zwar die beiden schwersten Lücken geschlossen, ist aber noch nicht auf dem sicheren Stand. Prüfen Sie deshalb nicht nur, ob jemand ein Update eingespielt hat, sondern welche Version tatsächlich installiert ist.
YOOtheme Pro: Risiko durch angemeldete Nutzer
Anders liegt der Fall bei YOOtheme Pro. Hier betreffen die beiden Lücken angemeldete Nutzer mit erweiterten Rechten. Über die schwerere davon, eine SQL-Injection mit dem Wert 8,6, konnte laut NVD jeder Nutzer ab der Rolle „Contributor“ eigene Inhalte in Datenbankabfragen einschleusen. Die zweite Lücke mit dem Wert 7,0 erlaubte berechtigten Nutzern, beliebige Dateien auf dem Server zu lesen. Betroffen sind bei der SQL-Injection alle Versionen von 1.0.0 bis 5.0.40, beim Dateizugriff die Versionen ab 2.3.0. Version 5.0.41 schließt beide Lücken.
Wie dringend das Update ist, hängt deshalb davon ab, wer auf einer Website Beiträge anlegen darf. Arbeiten dort nur wenige, vertrauenswürdige Personen, ist das Risiko geringer als bei einer Website mit vielen oder externen Autorenkonten. Aufschieben sollten Sie das Update aus unserer Sicht trotzdem nicht, denn ein einziges kompromittiertes Konto reicht aus.