Joomla JLex Review 6.0.1 contient une vulnérabilité de cross-site scripting (XSS) reflétée qui permet aux attaquants d'injecter des scripts malveillants en manipulant le paramètre URL review_id. Les attaquants peuvent créer des liens malveillants contenant des charges utiles JavaScript qui s'exécutent dans les navigateurs des victimes lorsqu'ils sont cliqués, permettant le détournement de session ou le vol d'identifiants.

L'exploitation de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript arbitraire dans le contexte du site Joomla JLex Review. Un attaquant pourrait créer des liens malveillants contenant des payloads JavaScript qui, lorsqu'ils sont cliqués par un utilisateur, exécutent le code malveillant dans le navigateur de l'utilisateur. Cela peut permettre à l'attaquant de voler les cookies de session de l'utilisateur, de modifier le contenu de la page web affichée, ou de rediriger l'utilisateur vers un site web malveillant. Le risque est accru si l'application est utilisée pour gérer des informations sensibles ou si elle est intégrée à d'autres systèmes.

Websites using Joomla CMS with the JLex Review component installed, particularly those with user-generated content or review systems, are at risk. Sites with weak input validation or inadequate security practices are especially vulnerable. Shared hosting environments where multiple websites share the same server resources are also at increased risk.

• joomla / server:

grep -r 'review_id=[^&]*' /var/log/apache2/access.log | grep -i 'javascript:'

• generic web:

curl -I 'https://example.com/?review_id=<script>alert(1)</script>' | grep 'Content-Type:'

1. 2026-04-09Disclosure

   disclosure

1. Réservé2026-04-09
2. Publiée2026-04-09
3. Modifiée2026-04-15
4. EPSS mis à jour2026-04-17

La mitigation principale consiste à mettre à jour Joomla JLex Review vers la dernière version corrigée, dès que possible. En attendant la mise à jour, il est possible de mettre en place des mesures de protection temporaires. Il est recommandé de désactiver temporairement la fonctionnalité de revue si elle n'est pas essentielle. L'utilisation d'un Web Application Firewall (WAF) peut aider à bloquer les requêtes malveillantes contenant des payloads XSS. Surveillez attentivement les logs du serveur web pour détecter des tentatives d'injection de scripts et configurez des règles de pare-feu pour bloquer les adresses IP suspectes. Après la mise à jour, vérifiez que la vulnérabilité est bien corrigée en testant l'injection de scripts via le paramètre review_id.