CVE-2026-118494 CVSS 8.2 — HIGH php เผยแพร่: 2026-11-05

ช่องโหว่ Security Vulnerability — CVE-2026-118494 (CVSS 8.2)

⚠️ ระดับสูง (CVSS 8.2) — ควรแก้ไขภายใน 48-72 ชั่วโมง

📋 สรุปช่องโหว่

ช่องโหว่ Security Vulnerability ถูกค้นพบและรายงานใน NVD โดยมี CVSS Score 8.2 ระดับ "สูง"

รายละเอียดต้นฉบับ (EN): Joomla Extension - jreviews.com - Secret configs cached in a web-accessible in JReviews 1.0.0-5.12.0, 6.0.0-6.6.9 - JReviews caches its full settings table, including the Joomla global configuration secret (copied into cms_secret) and third-party API keys and secrets, to a serialized file under comp

ผู้ดูแลระบบที่ใช้ซอฟต์แวร์ที่ได้รับผลกระทบควรตรวจสอบและอัพเดตโดยเร็ว

💥 ผลกระทบที่อาจเกิดขึ้น

ผลกระทบขึ้นอยู่กับประเภทและบริบทการใช้งาน:

• ระดับความรุนแรง CVSS 8.2 (สูง) บ่งชี้ว่าช่องโหว่นี้อาจส่งผลต่อความปลอดภัยของระบบในระดับสูง
• ผู้โจมตีอาจใช้ประโยชน์จากช่องโหว่นี้เพื่อเข้าถึง แก้ไข หรือทำลายข้อมูลในระบบ
• ดูรายละเอียดผลกระทบเฉพาะที่ https://nvd.nist.gov/vuln/detail/CVE-2026-118494

🖥️ ซอฟต์แวร์และระบบที่ได้รับผลกระทบ

ตรวจสอบเวอร์ชันที่ได้รับผลกระทบและข้อมูลเพิ่มเติมที่ https://nvd.nist.gov/vuln/detail/CVE-2026-118494

🔧 แนวทางการแก้ไขและป้องกัน

  • ขั้นตอนแก้ไขทั่วไป:
  • 1. ตรวจสอบ Vendor Advisory: เข้าไปที่เว็บไซต์ vendor หรือ https://nvd.nist.gov/vuln/detail/CVE-2026-118494 เพื่อดู patch อย่างเป็นทางการ
  • 2. อัพเดตเป็นเวอร์ชันล่าสุด: ติดตั้งเวอร์ชันที่แก้ไขช่องโหว่แล้วทันที
  • 3. ตรวจสอบ Logs: ดู system log และ access log หาร่องรอยการโจมตีที่อาจเกิดขึ้นแล้ว
  • 4. ติดตั้ง Security Monitoring: ใช้ WAF หรือ IDS เพื่อ monitor การโจมตี
  • 5. Backup ข้อมูล: สำรองข้อมูลสำคัญก่อนทำการเปลี่ยนแปลงใดๆ
  • 6. แจ้งทีมงาน: แจ้งให้ทีม IT security ทราบเพื่อวางแผนรับมือ

📄 รายละเอียดต้นฉบับ (ภาษาอังกฤษ)

Joomla Extension - jreviews.com - Secret configs cached in a web-accessible in JReviews 1.0.0-5.12.0, 6.0.0-6.6.9 - JReviews caches its full settings table, including the Joomla global configuration secret (copied into cms_secret) and third-party API keys and secrets, to a serialized file under components/com_s2framework/tmp/cache/core/ inside the web root. The file has no PHP guard and the directory has no .htaccess, so anyone who knows the file name can read it without authentication.

🔗 แหล่งอ้างอิง

NVD — CVE-2026-118494 https://jreviews.com/