Was ist passiert?
Im September 2026 wurde unter der Kennung CVE-2026-78303 eine Sicherheitslücke in der Joomla-Erweiterung SP Property von JoomShaper veröffentlicht. Die Schwachstelle betrifft alle Versionen der Extension vor 4.1.4 und ermöglicht eine sogenannte Unvalidated Email Destination kombiniert mit Form Manipulation bei Buchungsanfragen.
Konkret verließ sich die Erweiterung bei der Weiterleitung von Buchungsanfragen auf versteckte HTML-Formularfelder (hidden fields), die clientseitig im Browser des Nutzers gesetzt wurden. Da diese Felder nicht serverseitig validiert wurden, konnte ein Angreifer sie vor dem Absenden des Formulars manipulieren – zum Beispiel mit Browser-Entwicklertools – und so die Zieladresse der E-Mail-Benachrichtigung beliebig verändern.
Wer ist betroffen?
Betroffen sind alle Betreiber von Joomla-Websites, die die Erweiterung SP Property in einer Version kleiner als 4.1.4 einsetzen. SP Property wird typischerweise für Immobilienportale, Maklersites und ähnliche Buchungsplattformen genutzt, auf denen Interessenten Besichtigungs- oder Kaufanfragen über ein Webformular stellen können. Gerade bei solchen geschäftskritischen Formularen ist die Integrität der E-Mail-Zustellung besonders wichtig.
Wie gefährlich ist die Lücke?
Zum Zeitpunkt der Veröffentlichung liegt noch kein offizieller CVSS-Score vor. Inhaltlich ist die Schwachstelle als mittel bis ernst einzustufen:
- E-Mail-Umleitung: Buchungsanfragen von echten Interessenten könnten unbemerkt an externe, vom Angreifer kontrollierte Adressen umgeleitet werden.
- Datenverlust: Anfragen gehen beim eigentlichen Empfänger (z. B. dem Makler) nie an – ohne dass dies sofort auffällt.
- Social Engineering: Abgefangene Buchungsanfragen enthalten oft Namen, Telefonnummern und persönliche Informationen der Interessenten, die für weitere Angriffe missbraucht werden könnten.
- Reputation: Kunden erhalten keine Rückmeldung auf ihre Anfrage, was zu Vertrauensverlust beim Seitenbetreiber führt.
Die Ausnutzung erfordert kein besonderes technisches Vorwissen – einfache Browser-Werkzeuge reichen aus, um die versteckten Felder zu editieren.
Was ist jetzt zu tun?
- Sofort-Update: Aktualisieren Sie SP Property auf mindestens Version 4.1.4. Diese Version behebt die Schwachstelle durch serverseitige Validierung der E-Mail-Empfänger.
- Joomla-Backend prüfen: Überprüfen Sie im Erweiterungs-Manager, welche Version von SP Property aktuell installiert ist.
- Formular-Logs sichten: Falls vorhanden, prüfen Sie Server- und Formular-Logs auf auffällige Buchungsanfragen der vergangenen Wochen.
- Weitere Extensions prüfen: Nutzen Sie den Anlass, um alle installierten Joomla-Erweiterungen auf aktuelle Versionen zu überprüfen – veraltete Extensions sind häufige Einfallstore.
Unterstützung durch monsi.it
Sie sind unsicher, ob Ihre Joomla-Installation betroffen ist, oder möchten Ihre gesamte Erweiterungs-Landschaft auf Sicherheitslücken prüfen lassen? Das Team von monsi.it unterstützt Sie schnell und unkompliziert – von der Analyse bis zur sicheren Aktualisierung. Nehmen Sie gerne Kontakt über unser Kontaktformular auf.
Titelbild mit KI erstellt.