CVE-2026-94132
Vulnerabilidad de ejecución remota de código en la función de acción de buzón en la extensión AcyMailing Enterprise < 11.1.0 de Joomla Extension - acymailing.com
- Publicado
- 26 sept 2026
- Actualizado
- 29 sept 2026
- Asignación de CNA
- Joomla
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 40,8 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Vulnerabilidad de ejecución remota de código en la función de acción de buzón de la extensión AcyMailing Enterprise < 11.1.0 de Joomla Extension - acymailing.com - las partes MIME de los correos entrantes se guardaban en media/com_acym/upload/ sin comprobación de extensión, por lo que cualquiera que pudiera enviar un correo al buzón monitorizado podía escribir un archivo PHP en la raíz web.
Fuentes
Prueba de concepto (PoC) en Python de comprobación/explotación para CVE-2026-94132: detecta las versiones de AcyMailing para Joomla, sondea el directorio media/com_acym/upload y verifica la ejecución del shell PHP subido.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.