Уязвимость в обработчике преобразования изображений YOOtheme Pro позволяет посетителю без учётной записи записать на сервер собственный файл и выполнить его как программу. YOOtheme Pro - шаблон оформления (тема) для сайтов; в записи CVE продукт назван расширением для Joomla. Затронуты выпуски ветки 5.0, предшествующие исправлению. Проверка подписи в обработчике неполная, поэтому чужой код попадает в каталог, который сервер исполняет.
CVE-2026-102785 и запись PHP-файла на сервер
Обработчик преобразования изображений доступен любому посетителю: он готовит изменённые копии картинок по адресу запроса. Запрос снабжают подписью - контрольной строкой, которая подтверждает, что параметры не менялись. Подпись не секретна: она приходит в адресе обычной картинки, которую видит любой посетитель. Проверка охватывает не все поля запроса, поэтому к адресу можно дописать дополнительные операции над изображением, и подпись останется действительной.
Среди добавленных операций может быть обход каталога (path traversal): в параметрах указывают переход в родительский каталог. Через него файл выходит за пределы кеша - хранилища готовых картинок - и оказывается в публичном каталоге, где PHP исполняется. Содержимое остаётся корректным изображением PNG и одновременно работает как PHP-скрипт; такую конструкцию называют полиглотом. Проблему классифицируют как неограниченную загрузку файла опасного типа (CWE-434). Оценка по CVSS 4.0 - 10.0 из 10. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется.
Сведения о реальных атаках уже есть. В базе NVD (публичный каталог уязвимостей) рядом с записью стоят ссылки на репозитории GitHub с готовыми эксплойтами; один из них назван массовым. Пользователи темы описывают найденные на сайтах файлы в каталогах загрузок и кеша, а серверный антивирус сообщает о веб-оболочках внутри изображений. Веб-оболочка - скрипт, который даёт удалённое управление сайтом. Публикация деталей значит, что техника доступна; найденные файлы показывают, что уязвимость применяли.
Исправление вышло 21 октября 2026 года в версии 5.0.53. Уязвимы версии с 5.0.0 по 5.0.52 включительно. Днём раньше вендор разослал предупреждение о готовящемся выпуске, а после публикации - письмо с рекомендациями; о проблеме сообщили и команде безопасности Joomla. Запись CVE-2026-102785 опубликована 22 октября. Обходных мер вендор не называет, поэтому закрыть проблему можно только обновлением до 5.0.53.
Автоматически тема не обновляется: в службе поддержки это объясняют риском несовместимости со сторонними расширениями. Обновление ставят вручную и до установки делают резервную копию. Если сайт работал на уязвимой версии, одного обновления мало: файл, записанный до патча, останется на месте.
Служба поддержки советует проверить даты изменения файлов начиная с 20 октября. Посторонние PHP-файлы в каталогах загрузок и кеша темы удаляют, сайт восстанавливают из резервной копии, сделанной до взлома, а затем обновляют тему и сторонние расширения. Если откат невозможен, остаётся точечная очистка: удалить чужие файлы, прогнать сайт антивирусным сканером, настроить мониторинг и повторять проверки, пока не исчезнут все оболочки.
Запись CVE называет продукт расширением для Joomla, а в переписке пострадавшие описывают сайты на WordPress. Однозначного ответа о затронутых платформах источники не дают. Проверять нужно любую установку YOOtheme Pro указанных версий, независимо от платформы.
Значимость уязвимости определяют условия атаки. Ни учётная запись, ни действие пользователя не нужны, а результатом становится исполнение чужого кода на сервере. Обновление до 5.0.53 закрывает проблему; для уже скомпрометированных сайтов это только первый шаг.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-102785
- https://www.tenable.com/cve/CVE-2026-102785
- https://yootheme.com/support/question/175870
