Joomla HikaShop 4.7.4 enthält eine reflektierte Cross-Site-Scripting-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, bösartige Skripte zu injizieren, indem sie GET-Parameter im Produktfilter-Endpunkt manipulieren. Angreifer können bösartige URLs erstellen, die XSS-Payloads in den from_option-, from_ctrl-, from_task- oder from_itemid-Parametern enthalten, um Sitzungstoken oder Anmeldedaten zu stehlen, wenn Opfer den Link besuchen. (reflected cross-site scripting vulnerability)

CVE-2023-54364 in Joomla HikaShop 4.7.4 stellt ein erhebliches Risiko dar, da es sich um eine reflektierte Cross-Site Scripting (XSS)-Schwachstelle handelt. Diese Schwachstelle ermöglicht es nicht authentifizierten Angreifern, bösartigen Code in die Website einzuschleusen, indem sie einfach die GET-Parameter am Produktfilter-Endpunkt manipulieren. Der potenzielle Schaden ist erheblich, da ein Angreifer Sitzungstoken, Anmeldedaten stehlen oder Benutzer sogar auf bösartige Websites umleiten könnte. Das Fehlen eines offiziellen Fixes verschärft die Situation und erfordert, dass Administratoren sofort präventive Maßnahmen ergreifen, um ihre Joomla-Websites zu schützen. Die Schwachstelle wird über Parameter wie 'fromoption', 'fromctrl', 'fromtask' und 'fromitemid' ausgenutzt, was die Erstellung bösartiger URLs erleichtert.

Websites utilizing Joomla CMS with the HikaShop e-commerce extension are at risk. Specifically, sites running versions of HikaShop prior to 4.7.4 are vulnerable. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the exploitation of this vulnerability on other sites using the vulnerable HikaShop version.

• joomla / wordpress: Examine web server access logs for requests containing suspicious GET parameters (fromoption, fromctrl, fromtask, fromitemid) with encoded characters or JavaScript payloads.

grep -i 'from_option=[^a-zA-Z0-9_]+|from_ctrl=[^a-zA-Z0-9_]+|from_task=[^a-zA-Z0-9_]+|from_itemid=[^a-zA-Z0-9_]+' /var/log/apache2/access.log

• generic web: Use curl to test the product filter endpoint with various XSS payloads in the GET parameters and observe the response for signs of script execution.

curl 'https://example.com/hikashop/index.php?option=com_hikashop&view=product&filter_category_id=1&from_option=<script>alert("XSS")</script>'

1. 2026-04-09Disclosure

   disclosure

1. Reserviert2026-04-09
2. Veröffentlicht2026-04-09
3. Geändert2026-04-15
4. EPSS aktualisiert2026-04-17

Angesichts des Fehlens eines offiziellen Fixes für CVE-2023-54364 konzentriert sich die Abschwächung auf präventive Maßnahmen. Die Hauptempfehlung ist, auf die neueste verfügbare Version von HikaShop zu aktualisieren, auch wenn dies die Schwachstelle nicht direkt behebt, da sie zusätzliche Sicherheitsupdates enthalten könnte. Darüber hinaus wird eine strenge Validierung und Bereinigung aller Benutzereingaben, insbesondere in GET-Parametern, empfohlen. Die Verwendung einer Web Application Firewall (WAF) kann helfen, bösartige Anfragen zu blockieren. Die Überwachung der Website-Protokolle auf verdächtige Aktivitäten, wie z. B. Anfragen mit ungewöhnlichen GET-Parametern, ist entscheidend. Schließlich kann die Schulung von Benutzern über die Risiken des Anklicks verdächtiger Links das Risiko einer Ausnutzung verringern.