Security-Radar
Joomla Sicherheitslücken in Erweiterungen
Wir fassen regelmäßig zusammen, welche Sicherheitslücken bei verbreiteten Joomla-Erweiterungen geschlossen wurden – verständlich, ohne Fachchinesisch, mit klarer Handlungsanweisung.
Sie registrieren ungewöhnliche Veränderungen im Front- oder Backend Ihrer Joomla-Website?
Auch ohne Wartungsvertrag
Bekannte Sicherheitslücken in Joomla-Erweiterungen
Diese Liste erhebt keinen Anspruch auf Vollständigkeit. Sie listet Erweiterungen, die wir häufig einsetzten und für die eine Schwachstelle auch öffentlich dokumentiert ist – mit Risikoeinstufung, betroffenen Versionen und dem Hinweis, wie die Lücke geschlossen wird. Jede Zeile betrifft eine einzelne Erweiterung, keine Joomla-Version.
| Betroffene Version | Behebung / Hinweise | |||
|---|---|---|---|---|
| AcyMailing | kritisch | bis 11.0.5 |
Fixed in Version 11.1.0 (empfohlen 11.1.1)
Angreifer:innen konnten ohne Login Dateien auf den Server schreiben oder löschen (z. B. configuration.php).
|
|
| AcyMailing | hoch | 6.0.0–10.11.0 |
Fixed in Version 10.11.1
Anonyme SQL-Injection über öffentlichen Endpunkt – komplette Datenbank inkl. Passwort-Hashes auslesbar. Betrifft Joomla-Komponente und WordPress-Plugin.
|
|
| AcyMailing | hoch | 9.11.0–10.8.1 |
Fixed in Version 10.8.2
Angemeldete Benutzer:innen konnten Admin-Funktionen von AcyMailing aufrufen und sich über die Autologin-Funktion als Administrator:in anmelden.
|
|
| Advanced Custom Fields (ACF) | kritisch | 2.2.0–3.1.0 |
Fixed in Version 3.1.1 (Joomla 3: 2.8.10)
Lücke im automatisch mitinstallierten Tassos-Framework. Ohne Login konnten PHP-Dateien eingebunden, Dateien gelesen oder gelöscht und die Datenbank ausgelesen werden.
|
|
| Aimy Captcha-Less Form Guard | kritisch | 18.0–20.0 |
Fixed in Version 20.1
Serverkontrolle möglich
|
|
| Akeeba Backup Pro | niedrig | vor 10.3.7 |
Fixed in Version 10.3.7
Einige Backend-Seiten prüften die Zugriffsrechte nicht. Laut Hersteller kein Hack der Website möglich.
|
– |
| DPCalendar | hoch | 10.0.0–10.12.0, alle 9.x, Joomla 3: bis 8.19.5 |
Fixed in Version 10.12.1
Behebt eine SQL-Injection und XSS über Ortsnamen. Für 9.x gibt es keinen Patch: Upgrade in Stufen 10.0.0 → 10.6.0 → 10.12.1. Template-Overrides prüfen!
|
|
| DPCalendar | hoch | 8.18.0–10.11.1 |
Fixed in Version 10.11.2 bzw. 8.19.4
Anonyme SQL-Injection über die öffentliche Event-Feed-Funktion – komplette Datenbank auslesbar
|
|
| EDocman | niedrig | bis 3.8 |
Fixed in Version 3.9
SQL-Injection ohne Login: Ein einziger Aufruf genügte, um beliebige Datenbanktabellen zu lesen.
|
– |
| EngageBox | kritisch | 6.0.0–7.1.0 |
Fixed in Version 7.1.1 (Joomla 3: 6.3.9)
Gleiche Lücke im mitinstallierten Tassos-Framework wie bei ACF: ohne Login Dateien einbinden, lesen, löschen und Datenbank auslesen.
|
|
| Events Booking | hoch | 5.0.0–5.8.1 |
Fixed in Version 5.8.2
Ohne Login konnten Rechnungen beliebiger Teilnehmer:innen heruntergeladen werden (Name, Organisation, Adresse, E-Mail, Betrag). Datenschutzrelevant.
|
|
| Events Booking | kritisch | 5.0.0–5.8.0, Joomla 3: unter 4.9.5 |
Fixed in Version 5.8.1 (Joomla 3: 4.9.5)
Ohne Login konnten Dateien hochgeladen werden (Upload standardmäßig aktiv). Zusätzlich ließen sich Name und E-Mail-Adresse aller Benutzer:innen auslesen.
|
|
| Google Structured Data (GSD) | kritisch | 5.1.7–6.1.0 |
Fixed in Version 6.1.1 (Joomla 3: 5.6.9)
Gleiche Lücke im mitinstallierten Tassos-Framework wie bei ACF: ohne Login Dateien einbinden, lesen, löschen und Datenbank auslesen.
|
|
| Helix3 (Template-Framework) | hoch | 1.0–3.1.0 |
Fixed in Version 3.1.1
Wurde aktiv für die „Hacked by AntonKill“-Defacement-Welle ausgenutzt. Unauthentifiziertes Schreiben/Löschen beliebiger Dateien, Vorlagen-Übernahme.
|
|
| iCagenda | kritisch | 3.2.1–4.0.7 |
Fixed in Version 4.0.8
Anonymer Datei-Upload über das Event-Einreichungsformular → volle Serverkontrolle
|
|
| Ignite Gallery | mittel | vor 5.4.1 |
Fixed in Version 5.4.1
Hersteller gibt an, die Lücken im eigenen Audit mit Claude Code gefunden zu haben. XSS (hoch, bei Bild-Upload-Rechten), SSRF (niedrig), Zugriffsumgehung bei gesperrten Bildern (niedrig).
|
– |
| J2Commerce (ehem. J2Store) | hoch | alle vor 3.3.23 / 4.0.23 / 4.1.8 |
Fixed in Version 3.3.23 / 4.0.23 / 4.1.8
Unauthentifizierte Blind-SQL-Injection im Produktlisting (CVSS 8.7); dazu CSRF im Checkout mit Adressmanipulation, Path Traversal beim Datei-Download, anonymes Setzen beliebiger Bestellungen auf „Failed" via PayPal-Callback, vorhersagbare Order-Tokens, Parameter-Injection. Template-Overrides mit-aktualisieren!!! J2Store 3 (Joomla 3) erhält ab 19.10.2026 keine Sicherheitsupdates mehr.
|
|
| J2Commerce (ehem. J2Store) | kritisch | alle vor 3.3.22 / 4.0.22 / 4.1.7 |
Fixed in Version 3.3.22 / 4.0.22 / 4.1.7
Path Traversal und Serverzugriff (CVSS 9,4); dazu PayPal-Callback-Fälschung, Warenkorb-Manipulation, offengelegte Gastkauf-Adressen, XSS.
|
|
| J2Commerce (ehem. J2Store) | hoch | alle vor 3.3.21 / 4.0.21 / 4.1.6 |
Fixed in Version 3.3.21 (Joomla 3), 4.0.21 (Joomla 4.0), 4.1.6 (Joomla 4.1)
Anonymer Datei-Upload, IDOR-Lücken mit fremden Bestell- und Adressdaten, Stored XSS über Gastcheckout mit Ausführung im Backend, Open Redirect, manipulierbare Download-Limits. Add-on-Plugins mit- updaten!!!
|
|
| JCE (Joomla Content Editor) | mittel | 2.9.99.6–2.9.99.9 |
Fixed in Version 2.9.99.10
Ein authentifizierter Benutzer mit Administratorrechten konnte eine Datei so umbenennen, dass im aktuellen Ordner eine versteckte Datei erstellt wurde.
|
|
| JCE (Joomla Content Editor) | kritisch | 2.7.0–2.9.99.5 |
Grundfix in Version 2.9.99.5, Härtung in Version 2.9.99.6
Lücke wurde aktiv ausgenutzt zum Einschleusen von Webshells - von CISA gelistet. Anonyme Erstellung von Editor-Profilen → PHP-Hochladen und -Ausführen → Serverkontrolle
|
|
| Membership Pro | kritisch | vor 4.6.2 |
Fixed in Version 4.6.2
Ohne Login konnten Dateien über Datei-Felder des Anmeldeformulars hochgeladen werden. Nach dem Update das Bereinigungs-Tool von Membership Pro ausführen.
|
|
| Phoca Download | kritisch | 1.0–6.1.2 |
Fixed in Version 6.1.3
Angemeldetes Mitglied kann über die (nicht standardmäßig aktive) Upload-Funktion eine PHP-Datei hochladen und ausführen → Serverkontrolle
|
|
| Phoca Gallery | hoch | 4.5.0–6.1.5 |
Fixed in Version 6.1.6
Über präparierte Eingaben lässt sich Schadcode in Galerieseiten einschleusen (Stored XSS). Er wird ausgeführt, wenn Besucher:innen oder Administrator:innen die Seite aufrufen.
|
|
| Regular Labs Erweiterungen | kritisch | alle Versionen vor den Sicherheits-Updates ab 22.07. |
Jeweils aktuellste Version einspielen! u. a. Articles Anywhere 20.0.0, Modules Anywhere 10.0.0, Conditional Content 8.0.0, GeoIP 7.0.0, Cache Cleaner 10.0.0, Tabs & Accordions 3.2.0
39 CVEs! Regular Labs hat in drei Sammel-Updates rund 30 Erweiterungen abgesichert: u. a. XSS, SSRF, fälschbare IP-Header (Geo-Sperren umgehbar) sowie Lücken für Autor:innen bis zur Codeausführung. Alle Regular-Labs-Erweiterungen inkl. Library aktualisieren. Seit Juli ist PHP 8.2 Voraussetzung. Modules Anywhere 10 ist nicht abwärtskompatibel. Neue Rechte gelten nach dem Update zunächst nur für Super User.
|
– |
| Regular Labs Sourcerer | kritisch | 1.0.0–15.0.0 |
Fixed in Version 16.0.1
Codeausführung ohne Login, laut Joomla Security Strike Team seit ca. 19.08.2026 aktiv ausgenutzt. Wenn kein sofortiges Update möglich: System-Plugin „Sourcerer“ deaktivieren.
|
|
| RSFiles! | kritisch | bis 1.17.11 |
Fixed in Version 1.17.12
Anonymer Datei-Upload in den Downloads-Ordner (getrennte Prüf- und Schreibstelle im Code) → Serverkontrolle.
|
|
| SP Page Builder | hoch | ab 3.2.6 bis 6.9.0 |
Fixed in Version 6.9.1
SQL-Injection und Dateizugriff für Autor:innen/Redakteur:innen, Captcha-Umgehung ohne Login. Joomla 3: Sicherheitspatch 1.0.3, nur auf SP Page Builder 5.6.1 installierbar, ändert die Versionsnummer nicht.
|
|
| SP Page Builder | kritisch | 5.5.0–6.7.1 |
Fixed in Version 6.8.0
Ausführung von PHP-Code ohne Login (Datei-Einbindung über Dynamic Content) sowie SQL-Injection ohne Login.
|
|
| SP Page Builder | kritisch | 1.0.0–6.7.0 |
Fixed in Version 6.7.1
Praktisch login-freie SQL-Injection + offener Mail-Relay über Kontaktformular
|
|
| SP Page Builder | kritisch | 4.0.0–6.6.1 |
Fixed in Version 6.6.2
Zero-Day: Datei-Upload ohne Login über den Icon-Upload, aktiv ausgenutzt. Angreifer:innen lasen configuration.php aus und legten versteckte Super User an.
|
|
| YOOtheme Pro | kritisch | 5.0.0–5.0.52 |
Fixed in Version 5.0.53
Codeausführung ohne Login über die Bildverarbeitung von YOOtheme Pro 5. Die Schnittstelle, die verkleinerte und zugeschnittene Bilder erzeugt, ist auf jeder Website öffentlich erreichbar. Vor dem Update ein Backup anlegen!
|
|
| YOOtheme Pro | mittel | 1.0.0–5.0.41 |
Fixed in Version 5.0.42
Fehlendes Escaping beim Wert des Location-Custom-Fields (XSS) und fehlende Autorisierungsprüfung im Modul-Controller.
|
|
| YOOtheme Pro | hoch | 5.0.0–5.0.40, Joomla 3: unter 4.5.34 |
Fixed in Version 5.0.41 (Joomla 3: 4.5.34, empfohlen 4.5.35)
Beliebiges Lesen von Dateien am Server sowie SQL-Injection, beides bereits mit Contributor-Rechten ausnutzbar.
|
Da sind Erweiterungen dabei, die Sie auch verwenden? Dann ist es höchste Zeit, Ihre Website Sicherheit prüfen zu lassen.
Quellen
Wir tragen zusammen, was uns in unserer täglichen Arbeit mit Joomla-Websites und aus mehreren Quellen an Meldungen erreicht. Neue Lücken entstehen laufend, manche werden nie öffentlich gemeldet. Als verlässlichste, öffentliche Referenz gilt die CVE-Datenbank.
Empfehlung: Verlassen Sie sich nie auf eine einzige Quelle. Verbindlich ist am Ende immer, was der Hersteller Ihrer Erweiterung in seinen Release Notes schreibt. Und wenn Sie nicht sicher sind, ob eine Meldung Ihre Website betrifft: Fragen Sie nach. Eine kurze Anfrage kostet Sie fünf Minuten – ein übernommener Server kostet deutlich mehr.
Meine Expertise – Ihr Vorteil!
- Zertifizierte Datenschutzexpertin
- Zertifizierte Data IT & Security Expertin
- Joomla Production Department Coordinator
kostenlos und unverbindlich Rat einholen
Häufig gestellte Fragen
Woran erkenne ich, dass meine Website angegriffen wird?
Wenn Sie unsicher sind: Lieber einmal zu viel prüfen, bevor später „Feuerwehr“ nötig wird. Typische Anzeichen, dass eine Prüfung dringend ansteht:
- plötzlich neue Seiten/Weiterleitungen, die Sie nicht angelegt haben
- ungewohnte Admin-Accounts oder viele Login-Versuche
- Warnungen im Browser oder bei Suchmaschinen
- Ihre Seite taucht in Suchmaschinen schlechter auf oder fliegt raus (kann bei Website-Kidnapping passieren)
Was ist Website-Kidnapping – und warum ist das gefährlich?
Beim Website-Kidnapping wird Ihre Website so manipuliert, dass Suchmaschinen etwas anderes sehen als echte Nutzer:innen. Ziel ist oft, Besucher:innen auf Fake-Shops umzuleiten – und Ihre Domain/Reputation „mitzubenutzen“.
Wie oft sollte man die Website Sicherheit prüfen?
- laufend: Updates/Monitoring (monatlich bzw. nach Releases)
- regelmäßig: Website-Security-Check mindestens 1× pro Jahr
- zusätzlich: nach größeren Updates, neuen Plugins, Relaunch, Hosting-Wechsel oder Sicherheitsvorfällen
Kann ich selber meine Website Sicherheit prüfen?
Teilweise – ja. Aber: Die häufigsten Probleme entstehen bei der Vergabe von Zugriffsrechten, Logins, der Installation von Erweiterungen, Hosting-Setups und Backups. Wenn Sie intern keine Routine haben (oder keine Zeit), passieren schnell genau die Dinge, die später teuer werden.
Weitere vertrauenswürdige Quellen
-
IT-Safe & Prävention (WKO/Initiative)
-
Website-Kidnapping: Hintergrund + Checkliste + FAQ
-
„Wie sicher ist eine Webseite?“
-
Notfallhilfe & Anlaufstellen
-
Phishing-Wissen (Phishen Impossible)
-
Joomla Extensions: Kategorie „Access & Security“
-
KMU.DIGITAL IT-Security Beratungen
