Joomla Content Editor未授权远程代码执行漏洞(CVE-2026-48907)安全风险通告

01 漏洞详情

影响组件

Joomla Content Editor（简称 JCE）是 Widget Factory 开发的 Joomla 生态主流可视化富文本编辑器扩展，是 Joomla 站点最常用的第三方内容编辑组件。编辑器提供可视化排版、图片 / 媒体上传、文件管理、自定义编辑配置文件（Profile）等全套建站内容编辑能力，支持基于用户组、设备、组件精细化划分编辑权限，广泛用于企业官网、自媒体、商城、社区等各类 Joomla 建站场景。内置图片管理器、文件浏览器模块，默认开放媒体目录上传功能，适配图片、音视频、文档等多种资源，绝大多数商业及免费 Joomla 模板预装该编辑器。

漏洞描述

近日，奇安信CERT监测到Joomla Content Editor 未授权远程代码执行漏洞(CVE-2026-48907)在野利用，该漏洞源于 JCE 对 profiles.import 任务的访问控制不当，允许未认证攻击者通过 index.php?option=com_jce&task=profiles.import 端点创建新的编辑器配置文件。该配置文件可将文件上传插件（如 Image Manager 或 File Browser）的许可扩展设置为允许 PHP 等可执行文件，并指向可写目录（如 images、media、tmp）。攻击者可利用该漏洞，在未认证的情况下向该端点发送恶意请求，上传任意 PHP 文件（包括 WebShell），随后通过 HTTP 直接访问上传文件执行任意代码，获取服务器完全控制权。目前该漏洞PoC和技术细节已公开。鉴于该漏洞已发现在野利用，建议客户尽快做好自查及防护。

02 影响范围

影响版本

1.0.0 <= Joomla Content Editor < 2.9.99.5

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Joomla Content Editor 未授权远程代码执行漏洞(CVE-2026-48907)，截图如下：

04 处置建议

安全更新

目前官方已发布安全补丁，请及时将 Joomla Content Editor 升级至 2.9.99.6 版本（2.9.99.5 为基础修复版，2.9.99.6 增加了针对用户提交 XML 数据的额外加固），推荐升级至 2.9.99.6 版本。

官方补丁下载地址：

https://www.joomlacontenteditor.net/downloads

05 参考资料

[1]https://www.joomlacontenteditor.net/news/jce-security-update-and-a-free-patch-for-older-sites

[2]https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48907

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。