JReviews met en cache des paramètres sensibles, dont le secret Joomla et des clés ou secrets d’API de tiers, dans un fichier sérialisé accessible depuis le web. Les versions 1.0.0–5.12.0 et 6.0.0–6.6.9 sont signalées comme affectées; la version corrective n’est pas établie par les sources consultées.
Source : NVD — CVE-2026-118494
Analyse technique
Le fichier de cache sérialisé contenant des secrets est situé sous components/com_s2framework/tmp/cache/core/ dans la racine web; il ne comporte pas de garde PHP et le répertoire n’a pas de .htaccess.
Impact, versions et correctif
Détection / vérification
Vérifier si JReviews est installé et si sa version est dans les plages affectées; examiner aussi l’exposition web du répertoire de cache indiqué.
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’une version corrigée, restreindre l’accès web au cache et renouveler les secrets potentiellement exposés.
Sources
Priorisation DFS : P3 · 1 source(s).