La extensión OrdaSoft Joomla Gallery para Joomla (versiones anteriores a 6.2.7) contiene una vulnerabilidad de ejecución remota de código (CWE-94) en la función updateOSGallery(), accesible mediante task=update_osgallery. El componente lee un cuerpo JSON y usa el valor del campo method como nombre de función PHP a invocar, pasando el campo package como único argumento, sin ninguna lista blanca ni verificación con is_callable().
Esto permite a un atacante autenticado con privilegios invocar directamente funciones peligrosas como system, exec, shell_exec o passthru, logrando ejecución de comandos en el servidor. La probabilidad de explotación real en los próximos 30 días es baja según EPSS (0,5%, percentil 41%), pero el impacto potencial es crítico para sitios que usan esta extensión. Se recomienda actualizar a la versión 6.2.7 o superior.
| CVE | CVE-2026-88856 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.5% en 30 días (percentil 41) |
| CWE | CWE-94 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |