Joomla! कोर - [20260303] - com_associations तुलना दृश्य में XSS वेक्टर (XSS vector)।

यह XSS भेद्यता हमलावरों को दुर्भावनापूर्ण स्क्रिप्ट को इंजेक्ट करने की अनुमति देती है, जो तब ब्राउज़र द्वारा निष्पादित की जाती है जब कोई उपयोगकर्ता प्रभावित पृष्ठ पर जाता है। हमलावर कुकीज़, सत्र टोकन और अन्य संवेदनशील जानकारी चुरा सकते हैं। वे उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित कर सकते हैं या उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण क्रियाएं कर सकते हैं। इस भेद्यता का उपयोग फ़िशिंग हमलों को लॉन्च करने या सिस्टम पर नियंत्रण प्राप्त करने के लिए भी किया जा सकता है। चूंकि यह बहुभाषी संघ घटक को प्रभावित करता है, इसलिए इसका प्रभाव कई पृष्ठों और उपयोगकर्ताओं तक फैल सकता है, जिससे व्यापक क्षति हो सकती है।

Websites utilizing Joomla's multilingual associations component, particularly those running vulnerable versions (4.0.0–6.0.3), are at risk. Shared hosting environments where multiple websites share the same Joomla installation are also at increased risk, as a compromise of one site could potentially impact others.

• wordpress / composer / npm:

grep -r "<script>" /var/www/html/plugins/multilingual_associations/*

• generic web:

curl -I https://your-joomla-site.com/plugins/multilingual_associations/?param=<script>alert(1)</script>

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-01-01
2. प्रकाशित2026-04-01
3. संशोधित2026-04-02
4. EPSS अद्यतन2026-04-08

CVE-2026-21631 के लिए तत्काल शमन में, आउटपुट एस्केपिंग को लागू करना महत्वपूर्ण है। सभी उपयोगकर्ता-प्रदत्त डेटा को प्रदर्शित करने से पहले ठीक से एस्केप किया जाना चाहिए। यदि अपडेट करना संभव नहीं है, तो वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके XSS हमलों को ब्लॉक किया जा सकता है। WAF को उन पैटर्न को पहचानने और ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए जो XSS हमलों से जुड़े हैं। इसके अतिरिक्त, सामग्री सुरक्षा नीति (CSP) को लागू करने से ब्राउज़र को केवल विश्वसनीय स्रोतों से स्क्रिप्ट लोड करने की अनुमति देकर XSS हमलों के प्रभाव को कम किया जा सकता है। अपडेट के बाद, यह सत्यापित करें कि आउटपुट एस्केपिंग ठीक से लागू किया गया है और कोई XSS भेद्यता शेष नहीं है।