2024 年 2 月 20 日，Joomla!公布了其内容管理系统 (CMS) 中的 4 个已修复漏洞和 Joomla! 中的 1 个漏洞的详细信息。影响 CMS 的框架。乔姆拉！是一款开源 CMS，自 2005 年推出以来一直是市场份额最受欢迎的 CMS 平台之一。许多公司使用某种形式的 CMS 来管理他们的网站。乔姆拉！鼓励 CMS 用户升级到版本 3.10.15-elts、4.4.3 或 5.0.3。最新版本可供下载，并且可以在版本新闻页面、最新版本选项卡以及专用的 elts 网站上找到链接。
已披露的漏洞包括： CVE-2024-21722 是当用户的 MFA 方法更改时多重身份验证 (MFA) 管理功能无法正确终止现有用户会话的问题。 CVE-2024-21723 是由于 URL 解析不正确而发生开放重定向的问题。 CVE-2024-21724 是媒体选择字段中的输入验证不足的问题，导致各种扩展中存在跨站点脚本 (XSS) 漏洞。 CVE-2024-21725 是一个电子邮件地址未正确转义的问题，导致各个组件中存在 XSS 漏洞。 CVE-2024-21726 是 Joomla! 各个组件中的 XSS 漏洞。由于内容过滤不当，攻击者可能会欺骗管理员单击恶意链接，并可能实现远程代码执行。
为了维护 CMS 的安全性，请从积极寻找并修复安全漏洞的组织中选择 CMS，加入提供补丁信息的邮件列表，启用自动更新（如果您的 CMS 支持），将您使用的插件数量保持在最低限度，并确保您的站点安全。建议跟踪对其源代码的更改，使用双因素身份验证 (2FA) 保护帐户，为用户提供最低必要的访问权限，限制文件上传以排除代码和可执行文件，并使用 Web 应用程序防火墙 (WAF)。此外，如果您将 CMS 托管在自己的服务器上，那么了解此设置带来的风险并将其与网络的其他部分分开非常重要。
【新闻评论】
2024 年 2 月 20 日，Joomla!宣布修复其内容管理系统 (CMS) 和 Joomla! 中的多个安全漏洞！框架。这些漏洞与多重身份验证 (MFA) 管理功能、URL 解析、媒体选择字段输入验证、电子邮件地址转义和内容过滤相关，可能导致跨站脚本 (XSS) 和远程代码执行等风险。乔姆拉！建议用户升级到最新版本来解决这些问题。
这些漏洞的存在对于使用 CMS 的企业和个人来说是一个重大的安全问题。特别是与CVE-2024-21724、CVE-2024-21725和CVE-2024-21726相关的XSS漏洞允许攻击者向网站注入恶意代码并窃取访问者信息或执行未经授权的操作。此外，CVE-2024-21726 已被证明是攻击者实现远程代码执行的一种手段，这可以将对网站的完全控制权移交给攻击者。
为了解决此类漏洞，必须及时应用 Joomla! 提供的安全更新。此外，为了维护 CMS 的安全性，我们建议您选择能够积极寻找并修复安全漏洞、启用自动更新、将您使用的插件数量保持在最低限度并通过双因素身份验证 (2FA) 保护您的帐户的组织的 CMS。
此消息提醒所有使用 CMS 的组织采取安全措施的重要性。特别是像 Joomla! 这样的平台被广泛使用。影响许多网站，查找和修复安全漏洞对于使互联网整体更安全也很重要。用户可以通过及时更新安全更新并定期执行安全检查来保护其网站。