🟠 CVE-2026-49049: High Luecke in Ollyo Helix3

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-49049 betrifft das Helix3-Plugin für Joomla und ermöglicht es unauthentifizierten Angreifern, kritische Dateisystemoperationen durchzuführen. Das vulnerable Ajax-Handler-Task erlaubt das Löschen beliebiger Dateien, das Schreiben willkürlicher JSON-Dateien sowie die Modifizierung von Template-Parametern ohne erforderliche Authentifizierung.

Betroffene Systeme

Plugin: Ollyo Helix3 für Joomla

Schweregrad: High (CVSS 7.5)

Authentifizierung erforderlich: Nein

Patch-Status: Nicht verfügbar

Technische Details

Die Vulnerabilität liegt in einem unzureichend geschützten Ajax-Endpoint des Helix3-Plugins. Der betroffene Task-Handler validiert die Anfragen nicht ordnungsgemäß und implementiert keine CSRF-Token-Verifikation. Dies ermöglicht folgende Angriffsvektoren:

• Dateilöschung: Arbitrary File Deletion durch manipulierte Ajax-Requests
• JSON-Dateien: Unbegrenztes Schreiben beliebiger JSON-Dateien in kritische Verzeichnisse
• Template-Manipulation: Änderung von Template-Parametern mit potenziellen RCE-Implikationen

Der Angriffsvektor ist netzwerkgestützt (Network), was bedeutet, dass keine lokale Präsenz oder Authentifizierung erforderlich ist. Ein Angreifer kann über einfache HTTP-Requests die Vulnerabilität ausnützen.

Empfohlene Massnahmen

• Umgehende Deaktivierung: Das Helix3-Plugin sollte sofort deaktiviert und aus dem System entfernt werden
• Alternative suchen: Migration zu gepatchten oder sicheren Template-Alternativen durchführen
• Dateisystem-Überwachung: Logs auf unbefugte Dateizugriffe und -löschungen überprüfen
• Backup-Überprüfung: Überprüfung auf modifizierte kritische Dateien durchführen
• WAF-Regeln: Web Application Firewall-Regeln zur Blockierung verdächtiger Ajax-Requests einrichten

Bewertung

Mit einem CVSS-Score von 7.5 und fehlender Authentifizierungsanforderung stellt diese Vulnerabilität ein erhebliches Risiko dar. Die Kombination aus willkürlichem Dateizugriff und Template-Manipulation kann zu vollständiger Systemkompromittierung führen. Da kein Patch verfügbar ist, wird eine sofortige Plugin-Deinstallation empfohlen.

„`