¿Qué es la vulnerabilidad CVE-2026-102802 en Joomla?
Una vulnerabilidad crítica de inyección de código PHP registrada como CVE-2026-102802 afecta a la extensión Sourcerer en versiones anteriores a la 17.0.1 al utilizarse con la extensión Articles Anywhere anterior a la 20.1.1 de regularlabs.com. Este fallo presenta una puntuación CVSS de 8.9 y pone en riesgo la seguridad de los sitios web que confían en estas herramientas. Analizar problemas complejos de seguridad resulta tan crucial como revisar fallos en otros entornos, tal como se vio al analizar la vulnerabilidad crítica en la librería zip de Rust.
El problema radica en la discrepancia de autoridad entre el autor del artículo que suministra el código y la identidad confiable utilizada para decidir su ejecución.
¿A quién afecta este vector de inyección de código PHP?
Los administradores de sitios web basados en Joomla que utilicen las combinaciones de versiones citadas se encuentran expuestos a elevados riesgos de seguridad si no aplican las correcciones necesarias. Al igual que ocurre con los fallos de configuración e integración, una validación deficiente de los disparadores de contenido puede comprometer todo el servidor.
Cuando Articles Anywhere procesa una inclusión antes que Sourcerer y la opción de forzar disparadores de contenido se encuentra desactivada, el código PHP del artículo incluido puede evaluarse empleando la identidad del artículo contenedor.
¿Cómo me protejo frente a esta vulnerabilidad?
La mitigación efectiva de esta vulnerabilidad requiere actualizar los complementos afectados a sus versiones más recientes para restablecer los controles de confianza adecuados y evitar accesos indebidos.
Para asegurar correctamente los sitios afectados y prevenir incidentes de seguridad, se recomienda seguir los pasos de mitigación enumerados a continuación.
- Actualizar la extensión Sourcerer a la versión 17.0.1 o superior.
- Actualizar la extensión Articles Anywhere a la versión 20.1.1 o superior.
- Asegurarse de que la opción de disparadores de contenido (Force Content Triggers) esté configurada de forma segura para evitar desajustes de identidad.