CVE-2026-78374

Open mail relay via contact AJAX endpoint in T4 Page Builder extension < 2.3.0

MEDIUM Extension Joomla — joomlart.com Source officielle

Description

Joomla Extension - joomlart.com - Open mail relay via contact AJAX endpoint in T4 Page Builder extension < 2.3.0 - The front-end JSON editor endpoint exposes an action called contact that requires no authentication, no CSRF token, no captcha (when no captcha plugin is enabled) and has no rate limiting. The attacker fully controls the recipient, subject and HTML body, and the mail is sent from the site's configured sender identity (mailfrom/fromname).

Sévérité

6.9 Moyenne · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Score retenu : NVD

Source	Sévérité d'origine	CVSS
NVD	MEDIUM	6.9 (v4.0)

Produit et versions

Produit: Extension Joomla — joomlart.com
Corrigée dans: Non précisée
Publiée: 10/09/2026
Modifiée: 10/09/2026
CWE: CWE-201

Versions concernées

T4 Page Builder extension for Joomla — 1.0.0 – 2.2.0

Sources

NVD CNA Joomla CVE-2026-78374 vu il y a 2 h

Ces informations proviennent des sources ci-dessus ; CVE Oyer n'y ajoute aucune interprétation.

Historique

Détectée via nvd26/09/2026 09:34 UTC

RéférencesJSON

www.joomlart.comNVD