⚠️ YOOtheme ZOO – CVSS 10.0: Unauthentifizierter Datei-Upload und SQL-Injection
– com_zoo bis Version 4.1.63 erlaubt anonymen Angreifern das Ausführen von PHP-Code auf dem Server – sofortiges Update auf 4.1.66 erforderlich:
Die beliebte Joomla-Erweiterung YOOtheme ZOO (Komponente com_zoo) war von einer kritischen Sicherheitslücke betroffen, die mit dem Höchstwert CVSS 10.0 bewertet wurde. Bis einschließlich Version 4.1.63 war es einem völlig anonymen Besucher möglich, beliebige Dateien auf den Server hochzuladen und damit PHP-Code auszuführen – ohne Benutzerkonto, ohne Login. Zusätzlich enthielt dieselbe Version eine SQL-Injection. YOOtheme hat die Lücken mit Version 4.1.64 geschlossen; empfohlen ist das Update auf die aktuell neueste Version 4.1.66, die weitere Härtungsmaßnahmen enthält.
Was war betroffen?
- Unauthentifizierter Datei-Upload (CVSS 10.0): Die fehlende Zugriffskontrolle in
com_zooermöglichte das Hochladen beliebiger Dateitypen – insbesondere PHP-Webshells – ohne jede Authentifizierung. Ein Angreifer konnte damit vollständige Kontrolle über den Webserver erlangen - SQL-Injection: Ebenfalls ohne Login ausnutzbar; erlaubt das Auslesen der gesamten Joomla-Datenbank – inklusive Benutzerdaten, Passwort-Hashes und gespeicherter Inhalte
- Betroffen: Alle Versionen von YOOtheme ZOO bis einschließlich 4.1.63
Patchstand:
| Version | Status |
|---|---|
| YOOtheme ZOO bis 4.1.63 | ❌ Kritisch – CVSS 10.0, sofort updaten! |
| YOOtheme ZOO 4.1.64 / 4.1.65 | ⚠️ Lücken geschlossen, Härtung unvollständig |
| YOOtheme ZOO 4.1.66 | ✅ Aktuell – empfohlen |
Hinweis: Das Update steht über yootheme.com im Mitgliederbereich sowie über den Joomla-Erweiterungsmanager bereit. Nach dem Update sollte eine Prüfung auf unbekannte Dateien in Upload-Verzeichnissen (/media/zoo/, /images/) und auf unbekannte Administratoren-Konten erfolgen – insbesondere wenn die Website im Zeitraum der Schwachstelle öffentlich erreichbar war.
