Joomla is an open-source content management system (CMS) that helps users efficiently build and manage websites and content. While its adoption rate is relatively low in Korea, it is widely used overseas on a variety of websites, including those of corporations, public institutions, and educational organizations. Joomla allows users to add functionality not only through its core features but also via various extensions such as components, modules, and plugins. While this extension structure offers the advantage of increased flexibility and convenience, unmanaged extensions or environments where security updates have not been applied can become major attack vectors. Recently, various vulnerabilities—including file upload exploits, authentication bypasses, inadequate access controls, and remote code execution—have been continuously discovered in both the Joomla core and third-party extensions. Some of these vulnerabilities, if successfully exploited, can lead to the installation of web shells, the compromise of administrative privileges, data breaches, and service disruptions, necessitating a swift response. — 1. Overview Joomla is an open-source content management system (CMS) that supports the efficient creation and management of websites and content. While its adoption is relatively low in Korea, it is widely used overseas on various websites, including those of corporations, public institutions, and educational institutions. Joomla allows users to add functionality not only through its core features but also via various extensions such as components, modules, and plugins. While this extension structure offers the advantage of increased flexibility and convenience, unmanaged extensions or environments where security updates have not been applied can become major attack vectors. Recently, various vulnerabilities—including file upload exploits, authentication bypasses, inadequate access controls, and remote code execution—have been continuously discovered in both the Joomla core and third-party extensions. Some of these vulnerabilities, if successfully exploited, can lead to the installation of web shells, the compromise of administrator privileges, data breaches, and service disruptions, necessitating a swift response. This report examines recently disclosed high-risk Joomla vulnerabilities and their key characteristics, and proposes necessary security checks and response measures for Joomla operating environments. — 2. Recent Vulnerability Trends 2.1 Ongoing Discovery of Vulnerabilities Various security vulnerabilities have been continuously discovered in both the Joomla core and third-party extensions. Major vulnerability types include arbitrary file upload, remote code execution, authentication bypass, privilege escalation, and inadequate access controls. Joomla is structured to add functionality by installing various extensions, such as components, modules, and plugins. Consequently, not only the Joomla core but also third-party extensions serve as major attack surfaces. In particular, if extensions that provide file upload or administrative functions lack adequate authorization and input validation, attackers can upload malicious PHP files or web shells to take control of the server. 2.2 Key Features Increased Risk from Third-Party Extensions There has been an increase in cases where serious vulnerabilities are discovered in third-party extensions rather than in the Joomla core. Extensions that are no longer updated or have been neglected for a long time are unlikely to receive security patches, requiring even greater caution. Recurring File Upload Vulnerabilities Vulnerabilities allowing executable files to be uploaded due to insufficient validation of file extensions, MIME types, and storage paths have been repeatedly identified. These vulnerabilities can directly lead to the installation of web shells and remote code execution. Identification of Vulnerabilities Exploitable Without Authentication Some vulnerabilities can be exploited directly from the outside without requiring a separate account or user interaction. Vulnerable Joomla sites exposed to the internet are highly likely to become targets of automated scans and attacks once a vulnerability is disclosed. Need for Integrated Management of Core and Extensions Even if the Joomla core is kept up to date, the entire system may remain vulnerable to attack if vulnerable extensions are installed. Therefore, the versions, support status, and usage of both the core and extensions must be managed together. — 3. Major High-Risk Vulnerabilities This section analyzes representative examples of recent Joomla vulnerabilities that can be exploited without authentication or that could lead to serious consequences, such as remote code execution and privilege escalation. 3.1 CVE-2026-57827: RSFiles Arbitrary File Upload CVE-2026-57827 is an arbitrary file upload vulnerability discovered in the RSFiles extension for Joomla. An unauthenticated attacker can upload executable files to the server, which could lead to remote code execution. A successful attack could enable the installation of a web shell, website defacement, theft of system information, and the execution of additional malware. The vulnerability is highly dangerous because it allows attacks over the network without requiring a separate account or user interaction. CVSS Score: CVSS v4.0 9.3 (Critical) – CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H Exploitation Conditions: Unauthenticated Vulnerability Type: Arbitrary File Upload Main Impact: Remote Code Execution and Server Takeover (RCE & Server Takeover) Related CWE: CWE-434 (Unrestricted Upload of File with Dangerous Type) 3.2 CVE-2026-56291: Balbooa Forms Arbitrary File Upload CVE-2026-56291 is an arbitrary file upload vulnerability discovered in the Balbooa Forms extension for Joomla. An unauthenticated attacker can upload executable files, and a successful attack can lead to remote code execution. Features such as Balbooa Forms, which allow external users to enter data or attach files, are highly likely to be directly exposed to the internet. If you are using a vulnerable version, the public file upload feature could be exploited to install a web shell and compromise the server. CVSS Score: CVSS v4.0 9.3 (Critical) – CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H Exploitation Conditions: Unauthenticated Vulnerability Type: Arbitrary File Upload Main Impact: Webshell Installation and Remote Code Execution (Webshell & RCE) Related CWE: CWE-434 (Unrestricted Upload of File with Dangerous Type) 3.3 CVE-2026-56290: Page Builder CK Arbitrary File Upload CVE-2026-56290 is a vulnerability discovered in the Page Builder CK extension for Joomla. An unauthenticated attacker can upload executable files, and executing these uploaded files can lead to remote code execution. Content creation extensions, such as Page Builder, include functionality for handling images and media files. If validation of file types and executability is insufficient, the normal upload functionality can be exploited as a path to compromise the server. CVSS Score: CVSS v4.0 9.3 (Critical) – CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H Exploitation Conditions: Unauthenticated Vulnerability Type: Arbitrary File Upload & Improper Access Control Main Impact: Malware Execution & System Takeover Related CWE: CWE-284 (Improper Access Control) 3.4 CVE-2026-48907: Improper Access Control in JCE Editor CVE-2026-48907 is an access control vulnerability discovered in the JCE Editor extension for Joomla. Unauthenticated users can create new editor profiles and use them to upload and execute PHP code. This vulnerability is an example where a privilege verification issue, combined with the file upload functionality, leads to remote code execution. A successful attack could not only result in the tampering of website content but also allow access to internal server information and establish a foothold for further attacks. Read more about [2026.07 Vulnerability Report] Trends and Mitigation Strategies for High-Risk Joomla Vulnerabilities[…]

CVE-2026-33017 is a critical (CVSS 9.8) unauthenticated remote code execution (RCE) vulnerability in Langflow, an open-source framework for building LLM and RAG pipelines. The flaw exists in the POST /api/v1/build_public_tmp/{flow_id}/flow endpoint, which is designed to allow unauthenticated access for public flows but improperly accepts attacker-controlled data from the request body instead of using server-stored flow definitions. This data is used to construct a Custom Component—an extensible block where users define behavior in Python. The Python code embedded in this component is then executed via `exec()` without any sandboxing or validation, allowing attackers to run arbitrary code on the server with a single HTTP request. Since Langflow stores various cloud provider credentials and API keys, exploitation can escalate beyond server compromise to lateral movement across cloud infrastructures and supply chain attacks. The vulnerability was first publicly disclosed on March 16, 2026, and active exploitation was observed within approximately 20 hours of disclosure. It has been assigned a CVSS v3.1 score of 9.8 (Critical) by the NVD and was added to the CISA KEV catalog on March 25, 2026. Users must immediately upgrade from affected versions (prior to 1.9.0) to version 1.9.0 or later. — 1. Overview CVE-2026-33017 is a Critical-severity remote code execution (RCE) vulnerability discovered in Langflow, an open-source framework that allows users to visually configure LLM and RAG (Retrieval-Augmented Generation) pipelines. This vulnerability occurs in the POST /api/v1/build_public_tmp/{flow_id}/flow endpoint, which allows unauthenticated access for building public flows. By design, this endpoint should only use flow definitions stored on the server; however, in the actual implementation, it accepts the attacker-controlled `data` field included in the request body as-is. This data is used to configure Custom Components, which allow users to define behaviors directly using Python code; the Python code contained within these components is executed via `exec()` without any separate sandbox or validation. As a result, an attacker can execute arbitrary code on the server with a single HTTP request, without valid credentials. Langflow is an orchestration platform that connects AI models to production data, databases, external services, and internal APIs; by its very nature, it holds a large number of cloud provider credentials and various third-party API keys. Therefore, if this vulnerability is exploited, it could lead not only to server compromise but also to lateral movement into connected cloud infrastructure and supply chain breaches. This vulnerability was first disclosed on March 16, 2026, and actual exploitation was observed approximately 20 hours after disclosure. It was assigned a CVSS v3.1 score of 9.8 (Critical) by the NVD and was added to the CISA KEV catalog on March 25, 2026.Affected versions are those prior to Langflow 1.9.0, and the vendor and security advisories recommend immediately updating to version 1.9.0 or later. — 2. Attack Vector CVE-2026-33017 is an unauthenticated remote code execution vulnerability occurring in Langflow’s public flow build endpoint: POST /api/v1/build_public_tmp/{flow_id}/flow. Although this endpoint is designed to allow the building of public flows without authentication, in vulnerable versions, it accepts attacker-controlled data contained in the `data` field of the request body as-is, rather than using the flow definition stored on the server. Below is the actual code for the vulnerable endpoint, which shows that it directly receives the `data` parameter from the request body. @router.post(“/build_public_tmp/{flow_id}/flow”) async def build_public_tmp( *, flow_id: uuid.UUID, data: Annotated[FlowDataRequest | None, Body(embed=True)] = None, # ATTACKER CONTROLLED request: Request, # … NO Depends(get_current_active_user) — MISSING AUTH … ): “””Build a public flow without requiring authentication.””” client_id = request.cookies.get(“client_id”) owner_user, new_flow_id = await verify_public_flow_and_get_user(flow_id=flow_id, client_id=client_id) job_id Read more about [2026.07 Vulnerability Report] Langflow Remote Code Execution Vulnerability (CVE-2026-33017)[…]

CVE-2026-58602 is a Use-After-Free (UAF) vulnerability in the Windows Kernel-Mode Driver that allows a local attacker with low privileges to escalate to SYSTEM-level access on Windows 11 and Windows Server 2025. The flaw stems from improper memory management in kernel-mode driver handling, where a previously freed memory object can be re-referenced via a dangling pointer, enabling arbitrary code execution in the kernel context. Microsoft addressed this vulnerability in the July 2026 Patch Tuesday security update (July 14, 2026), and immediate patching is strongly recommended. The MONITORAPP TA team is actively monitoring attack campaigns exploiting this class of vulnerability, particularly in the context of BYOVD (Bring Your Own Vulnerable Driver) attack chains targeting EDR solutions. — 1. Overview Source: Microsoft Security Response Center (MSRC) CVE-2026-58602 is a Use-After-Free (UAF) memory vulnerability discovered in a Microsoft Windows kernel-mode driver; it is a critical vulnerability that allows a local attacker with low privileges to achieve privilege escalation to the SYSTEM level. This vulnerability stems from a flaw in the kernel-mode driver’s memory management process that causes a dangling pointer—a reference to a memory object that has already been freed. An attacker could exploit this to execute arbitrary code in the kernel context or gain SYSTEM privileges, which could lead to a wide range of follow-up attacks, such as forcing the termination of EDR (Endpoint Detection & Response) processes, tampering with security policies, and deploying ransomware. Microsoft released a patch for this vulnerability as part of the July 2026 Patch Tuesday (July 14) security update. Items Details CVE Number CVE-2026-58602 Vulnerability Type Use-After-Free (CWE-416) — Privilege Escalation Affected Products Windows 11 (24H2, 25H2, 26H1) / Windows Server 2025 CVSS 3.1 Score 7.8 (High) Attack Vector Local / Low Privileges / No User Interaction Required Patch Date July 14, 2026 (Patch Tuesday) Exploit Status No publicly known exploits (as of Microsoft’s official announcement) — 2. Attack Type CVE-2026-58602 is a local privilege escalation attack that exploits a memory management flaw in a Windows kernel-mode driver. The attacker first gains access to a low-privileged user account or a malware execution environment. Once an environment for executing code with user privileges (T1190, T1059) is established through phishing emails, malicious attachments, or other exploit chains, the foundation for the attack is complete. After gaining initial access, the attacker sends a specially crafted IOCTL (Input/Output Control) request to the vulnerable kernel-mode driver. During this process, the driver internally allocates and deallocates specific memory objects, but a use-after-free (UAF) vulnerability occurs because references to the deallocated pointers are not completely removed. The attacker overwrites the deallocated memory region with data under their control and then tricks the driver into referencing that region again via the dangling pointer. At this point, the manipulated function pointer is executed in the kernel context, allowing the attacker’s code to run with kernel privileges. (T1068 — Exploitation for Privilege Escalation). An attacker who successfully gains kernel privileges can use the control granted by the SYSTEM account to force-terminate EDR processes (T1562), install a kernel-level rootkit (T1014), or carry out follow-up attacks such as deploying ransomware or information-stealing malware. In particular, a similar kernel privilege escalation technique is being used as a key step in the BYOVD (Bring Your Own Vulnerable Driver) attack chain, which surged in the first half of 2026. Example of an attack packet # 공격자: 낮은 권한 프로세스에서 취약 드라이버 IOCTL 전송 DeviceIoControl( hDevice = \.VulnDriver, // 취약한 커널 모드 드라이버 핸들 dwIoControlCode = 0x222084, // UAF 트리거 Read more about [2026.07 Vulnerability Report] Windows Kernel-Mode Driver UAF (CVE-2026-58602)[…]

This vulnerability is a “Route Confusion and SQL Injection” vulnerability found in WordPress. An attacker may attempt to carry out an attack by sending a JSON request containing the syntax of a malicious SQL injection attack to the /wp-json/batch/v1 endpoint, exploiting incorrect sub-request handling logic. The security patch for this vulnerability was released on July 17, 2026, and the AIWAF product detects it using SQL injection-related patterns. — 1. Overview WordPress is an open-source content management system (CMS) that powers a significant portion of the world’s websites. With its vast ecosystem of themes and plugins, as well as its ease of customization, it helps users quickly build and operate a wide variety of sites, ranging from blogs to corporate websites. This report summarizes the analysis of the WP2Shell vulnerabilities—CVE-2026-63030 and CVE-2026-60137—that were discovered in this system. — 2. Attack Type Dubbed “WP2Shell,” this vulnerability is a Remote Code Execution (RCE) vulnerability found in the default WordPress environment. It involves two interlinked CVE vulnerabilities that work together to execute malicious commands. CVE-2026-63030 is a path confusion vulnerability in the REST API of the default WordPress environment. The /wp-json/batch/v1 endpoint in WordPress can accept JSON-formatted REST sub-requests for validation and execution-related REST sub-requests in JSON format. If an error occurs in one sub-request, the handler processing that request shifts the values within the array where those requests are stored; as a result, the subsequent sub-request is executed within the handler and authorized context of the previous sub-request. An attacker can exploit this by inserting a sub-request designed to trigger an error, thereby causing the subsequent sub-request to execute without validation. Attack Request: POST /wp-json/batch/v1 HTTP/1.1 Host: www.test.com Content-Type: application/json Accept: application/json { “validation”: “normal”, “requests”: [ { “path”: “/wp/v2/posts”, “method”: “GET” }, { “path”: “://invalid-url”, “method”: “GET” }, { “path”: “/wp/v2/posts”, “method”: “GET” } ] } CVE-2026-60137 is an SQL injection vulnerability that occurs in the default WordPress environment. An attacker can exploit this vulnerability by sending and executing a malicious SQL query through the `author_exclude` parameter exposed in the REST API. However, this vulnerability previously required authentication to access the endpoint supporting this parameter; this requirement can be bypassed by exploiting the CVE-2026-63030 vulnerability. Final Attack Request: POST /wp-json/batch/v1 HTTP/1.1 Host: www.test.com Content-Type: Read more about [2026.07 Vulnerability Report] WP2Shell (CVE-2026-63030, CVE-2026-60137)[…]