KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur untuk mewaspadai kerentanan pada Joomla! Core yang teridentifikasi dengan nomor CVE-2026-21630. Kerentanan ini memperoleh skor CVSS v3.1 sebesar 8.8 (High) dan dirilis melalui advisory resmi Joomla! [20260302].
Mengingat Joomla! banyak dipakai sebagai sistem manajemen konten (CMS) untuk situs web instansi pemerintah, kerentanan ini berpotensi menimbulkan dampak yang serius apabila tidak segera ditangani.
Ikhtisar
CVE-2026-21630 merupakan kerentanan SQL injection (CWE-89) pada endpoint layanan web (webservice) artikel komponen com_content di Joomla! Core.
Kerentanan disebabkan oleh penyusunan klausa ORDER BY yang tidak benar. Pengguna yang berwenang memanggil API dapat menyisipkan ekspresi SQL arbitrer untuk mengekstraksi data dari basis data.
Dampak
Eksploitasi yang berhasil dapat memberi penyerang konsekuensi sebagai berikut:
- Pengungkapan informasi sensitif dari basis data, termasuk hash kata sandi administrator dan token sesi aktif (aspek kerahasiaan).
- Potensi pengambilalihan akun administrator melalui kredensial atau sesi yang terekspos.
- Perubahan atau penghapusan data pada basis data (aspek integritas).
- Gangguan operasional situs layanan publik (aspek ketersediaan).
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| Joomla! CMS | 4.0.0 – 5.4.3 | 5.4.4 |
| Joomla! CMS | 6.0.0 – 6.0.3 | 6.0.4 |
Detail Teknis
Akar masalah berada pada endpoint GET /api/index.php/v1/content/articles yang menerima parameter list[ordering] dan list[direction] dari klien.
Nilai kedua parameter tersebut tidak divalidasi terhadap daftar putih (whitelist) yang sah pada model. Nilai itu kemudian diteruskan ke klausa ORDER BY kueri melalui fungsi escape yang hanya aman untuk literal string berkutip, bukan untuk pengidentifikasi atau ekspresi sebagaimana digunakan pada ORDER BY.
Akibatnya, pengguna yang berwenang memanggil API dapat menyisipkan ekspresi SQL ke dalam kueri sehingga mampu mengekstraksi data arbitrer dari basis data, termasuk hash kata sandi administrator dan token sesi aktif.
Rekomendasi
- Lakukan pembaruan. Tingkatkan Joomla! ke versi 5.4.4 atau 6.0.4 sesuai cabang yang digunakan.
- Batasi akses API. Apabila layanan web tidak digunakan, nonaktifkan plugin API atau batasi aksesnya hanya untuk pihak yang sah.
- Tinjau token akses. Periksa dan rotasi token akses API yang berpotensi disalahgunakan.
- Periksa indikasi kompromi. Tinjau log akses dan log basis data untuk mendeteksi pola permintaan API yang tidak wajar.
- Audit kredensial. Apabila ditemukan indikasi eksploitasi, segera ganti kata sandi akun administrator dan paksa pembaruan sesi pengguna.
- Aktifkan pemantauan. Konfigurasikan pemantauan untuk mendeteksi upaya injeksi SQL.
Perangkat Daerah yang menemukan indikasi eksploitasi atau membutuhkan pendampingan teknis dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi.