CVE-2026-48907criticalbajo ataqueCWE-284

CVE-2026-48907: fallo crítico en joomlacontenteditor.net Joomla Content Editor…

Joomla Extension - joomlacontenteditor.net - Remote Code Execution in JCE extension for Joomla < 2.9.99.5

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Joomla Content Editor extension for Joomla+ Monitorear Joomla Content Editor

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 10epss 85%
de la publicación al arma4 días
Publicada en NVD5 jun
1ª PoC+4d
metasploit5 jun
CISA KEV+11d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

  • CTIR Gov · ALERTA 56/2026 · 10 jul 2026Vulnerabilidade crítica com exploração ativa no Joomla JCEleer en gov.br ↗
  • CISC Gov.br · 16 jun 2026RCE Pré-autenticado no JCE Pro — CVE-2026-48907leer en gov.br ↗
Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-06-19

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

La extensión JCE del Joomla permite que cualquier persona, incluso sin iniciar sesión, cree nuevos perfiles de editor que se pueden usar para cargar y ejecutar código PHP dañino en el sitio. Esto da a los atacantes control total del servidor.

Detalle técnico

La vulnerabilidad permite que usuarios no autenticados creen perfiles arbitrarios del editor en la extensión JCE, que pueden ser abusados para cargar y ejecutar código PHP en el servidor. El ataque no requiere autenticación y resulta en ejecución remota de código con privilegios completos del servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A vulnerability in the JCE editor extension for Joomla allows the creation of new editor profiles for unauthenticated users, ultimately resulting in PHP code upload and execution.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/AU:Y/U:Red
Productos afectados
joomlacontenteditor.net · Joomla Content Editor (JCE) extension for Joomla
PoCs públicas encontradas — 51
exploitdbwww.exploit-db.com/exploits/52645no verificadoexploitdbwww.exploit-db.com/exploits/52630no verificadogithubgithub.com/gh1mau/masta-cve-2026-48907★ 64githubgithub.com/ywh-jfellus/CVE-2026-48907★ 16githubgithub.com/K3ysTr0K3R/CVE-2026-48907★ 4githubgithub.com/ashrafzaryouh/CVE-2026-48907★ 3githubgithub.com/0xBlackash/CVE-2026-48907★ 3githubgithub.com/0xgh057r3c0n/CVE-2026-48907★ 2githubgithub.com/NONAME-ELV/CVE-2026-48907★ 1githubgithub.com/g0thamRabb1t/CVE-2026-48907-Joomla-JCE-detection★ 1githubgithub.com/amnsecurity/CVE-2026-48907-Joomla-JCE-RCE★ 1githubgithub.com/pssec-io/CVE-2026-48907★ 1githubgithub.com/webshellseo8/CVE-2026-48907-Unauthenticated-RCE-in-JCE★ 1githubgithub.com/sec0x/CVE-2026-48907★ 1githubgithub.com/ChiefYoru/CVE-2026-48907_PoC★ 1githubgithub.com/BastianHxr/CVE-2026-48907★ 1githubgithub.com/0xCyp1337/CVE-2026-48907-RCE★ 1githubgithub.com/HORKimhab/CVE-2026-48907★ 0githubgithub.com/grayxploit/CVE-2026-48907★ 0githubgithub.com/xitexploiter96-dot/CVE-2026-48907-★ 0githubgithub.com/ksotaria1337/-CVE-2026-48907-★ 0githubgithub.com/87achrafg-stack/CVE-2026-48907★ 0githubgithub.com/g0thamRabb1t/joomla-jce-cve-2026-48907-detection★ 0githubgithub.com/Almavj/Joomla_CVE_2026_48907★ 0githubgithub.com/NoXiVaR/CVE-2026-48907★ 0githubgithub.com/theendofabbys/CVE-2026-48907★ 0githubgithub.com/wearehackers160/CVE-2026-48907★ 0githubgithub.com/CerberusMrXi/JCEzploit-CVE-2026-48907★ 0githubgithub.com/CoNistical/CVE-2026-48907★ 0githubgithub.com/bayu06802/CVE-2026-48907★ 0vulncheckvulncheck.com/xdb/8aea764423e4no verificadovulncheckvulncheck.com/xdb/4fb98049078dno verificadovulncheckvulncheck.com/xdb/fe6a20a4dab4no verificadovulncheckvulncheck.com/xdb/8f852dc50830no verificadovulncheckvulncheck.com/xdb/df10c0c1a5fbno verificadovulncheckvulncheck.com/xdb/c8ea4f263e83no verificadovulncheckvulncheck.com/xdb/584961b43d7cno verificadovulncheckvulncheck.com/xdb/bf9f910c249eno verificadovulncheckvulncheck.com/xdb/34872eebf6bano verificadovulncheckvulncheck.com/xdb/f624442bb47cno verificadovulncheckvulncheck.com/xdb/bb03ef2631d1no verificadovulncheckvulncheck.com/xdb/7b5f88d13907no verificadovulncheckvulncheck.com/xdb/609673988f8eno verificadovulncheckvulncheck.com/xdb/ba4be0ffd1eeno verificadovulncheckvulncheck.com/xdb/f459dd355b00no verificadovulncheckvulncheck.com/xdb/30044911c5a5no verificadovulncheckvulncheck.com/xdb/c0936cc796c9no verificadovulncheckvulncheck.com/xdb/413b55dc5574no verificadovulncheckvulncheck.com/xdb/ea98edc9d14eno verificadovulncheckvulncheck.com/xdb/3346a89083f0no verificadovulncheckvulncheck.com/xdb/d0682c028430no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — joomlacontenteditor.net Joomla Content Editor…

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-65891MEDIUMJoomla Extension - joomlacontenteditor.net - Creation of hidden files and unintended file overwrite via rename function in Joomla Content Editor (JCE) < 2.9.99.10EPSS 0.3%