یک آسیب‌پذیری امنیتی با شناسه CVE-2026-97164 در افزونه Event Gallery (نسخه‌های قدیمی‌تر از 6.5.0) شناسایی شده است که به کاربران احراز هویت شده اجازه می‌دهد فایل‌ها و پوشه‌های دلخواه را از روی سرور حذف کنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در بخش clear cache و به‌طور مشخص در تسک cache.process رخ می‌دهد. مهاجم می‌تواند با سوءاستفاده از پارامتر images، دستوراتی را ارسال کند که منجر به حذف بازگشتی (Recursive Deletion) هر دایرکتوری شود که وب‌سرور اجازه دسترسی و نوشتن (Write Permission) در آن را دارد.
تاثیرات امنیتی
- سطح دسترسی: این حمله نیازمند احراز هویت (Authenticated) است، بنابراین کاربرانی با سطح دسترسی پایین اما معتبر می‌توانند از آن استفاده کنند.
- پیامد: حذف فایل‌های حیاتی سیستم یا داده‌های کاربر که می‌تواند منجر به اختلال در سرویس (DoS) یا تخریب داده‌ها شود.
راهکار مقابله
به مدیران وب‌سایت‌هایی که از سیستم مدیریت محتوای Joomla و افزونه Event Gallery استفاده می‌کنند، توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به نسخه 6.5.0 یا بالاتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
