CVE-2026-78071

DPCalendar Free의 위치 제목을 통한 저장형 XSS DPCalendar Free ≤ 10.11.2 — 작성자 권한 사용자가 콘텐츠 검토를 우회하여 위치 제목을 통해 지속형 XSS를 주입, 모든 방문자의 마우스 호버 시 트리거 -orange 요약 $location-title 필드는 defaultlocations.php에서 htmlspecialchars 없이 렌더링됩니다. Joomla의 서버 측 InputFilter::clean은 문자열 필드에서 와 를 제거하지만 는 허용하므로, 작성자Author 권한 사용자가 HTML...

CVE-2026-78070

plgcontentdpcalendar의 ORDER BY 단축 코드를 통한 SQL 인젝션 DPCalendar Free ≤ 10.11.2 — 작성자 권한 사용자가 시간 기반 블라인드 인젝션으로 전체 데이터베이스 추출 요약 plgcontentdpcalendar 콘텐츠 플러그인은 Joomla 문서 본문에 포함된 events order="..."/events 단축 코드를 파싱합니다. order 매개변수 값은 모델 자체의 populateState 화이트리스트를 완전히 우회하여 에 직접 전달됩니다. 그런 다음 이 값은 로만 보호되는 SQL...

Joomla Security Breach

Joomla is an open source, cross-platform content management system CMS developed by the Open Source Matters team using PHP and MySQL. A security vulnerability exists in Joomla DPCalendar that stems from the presence of a cross-site scripting XSS vulnerability...