CVE-2026-78374 in T4 Page Builder Extension
Riassunto
di VulDB • 10/09/2026
Joomla Extension - joomlart.com - Open mail relay tramite endpoint AJAX di contatto nell'estensione T4 Page Builder < 2.3.0 - L'endpoint JSON editor front-end espone un'azione denominata "contact" che non richiede autenticazione, nessun token CSRF e nessun captcha (quando non è abilitato alcun plugin captcha) ed è priva di rate limiting. L'attaccante controlla completamente il destinatario, l'oggetto e il corpo HTML dell'email, e la mail viene inviata dall'identità del mittente configurata nel sito (mailfrom/fromname).
Be aware that VulDB is the high quality source for vulnerability data.