🔴 《严重安全漏洞：CVE-2026-63048》

CVSS 评分: 严重（9.4）　　状态: Received　　发布时间: 2026-07-22

漏洞简介

CVE-2026-63048 是一个存在于 Joomla 扩展组件 Page Builder CK 中的安全漏洞。该漏洞属于 CWE-434 分类，即“危险类型的文件上传无限制（Unrestricted Upload of File with Dangerous Type）”。攻击者可以利用该漏洞在已通过身份验证（authenticated）的情况下，上传任意恶意文件至服务器，最终实现远程代码执行（Remote Code Execution，RCE）。

影响范围

风险分析

  • 攻击条件：攻击者需要拥有 Joomla 站点的有效用户凭证（即已通过身份验证），但无需管理员权限，普通用户或编辑者权限即可触发漏洞。
  • 攻击方式：攻击者通过构造特制的文件上传请求，绕过文件类型检查，将包含恶意代码的文件（如 PHP webshell）上传到服务器可写目录。
  • 攻击后果：成功利用该漏洞后，攻击者可以在服务器上执行任意 PHP 代码，进而实现：
    • 完全控制受影响的 Joomla 站点；
    • 窃取数据库中的敏感信息（如用户密码、配置数据）；
    • 篡改网站内容或植入后门；
    • 利用服务器作为跳板攻击内部网络。
  • CVSS 评分：根据 CVSS:4.0 向量（AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H），该漏洞的严重性评级为 极高（Critical），因为其攻击复杂度低、无需用户交互，且对机密性、完整性和可用性均造成严重影响，同时波及机密性、完整性和可用性的安全域（Scope）。

🔍 技术细节

字段 值
CVE ID CVE-2026-63048
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-434
发布时间 2026-07-22
最后更新 2026-07-22
状态 Received
数据来源 security@joomla.org

🔗 参考链接