Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-65883 |
| Fabricante | aimy-extensions.com |
| Producto | Aimy Captcha‑Less Form Guard plugin para Joomla |
| Fecha de publicación | 29/07/2026 |
| Severidad | CRITICAL |
| CVSS | 10.0 |
| Puntuación de prioridad | 240 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La extensión Aimy Captcha‑Less Form Guard incluye un campo llamado clfgd que permite la deserialización de objetos PHP sin validación adecuada. Un atacante puede enviar un valor forjado en este campo, provocando la creación de un objeto PHP malicioso y la ejecución de código arbitrario en el servidor. Esta vulnerabilidad se clasifica como CWE‑502: Deserialización de datos no confiables y permite la ejecución remota de código (RCE) con privilegios de la cuenta del proceso web.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| aimy-extensions.com | Aimy Captcha‑Less Form Guard plugin para Joomla | 18.0 – 20.0 |
Impacto y riesgo
Una explotación exitosa permite a un atacante ejecutar cualquier código PHP con los mismos privilegios que el proceso web, lo que puede resultar en la toma de control total del sitio, robo de datos sensibles, instalación de malware y compromisos posteriores.
Estado de explotación conocida
No se dispone de evidencia de explotación activa en las fuentes consultadas.
Indicadores de compromiso (IOC)
No existen IOC estructurados disponibles.
Cómo comprobar si estás afectado
- Accede al panel de administración de Joomla.
- Verifica la versión de la extensión Aimy Captcha‑Less Form Guard en la sección de extensiones.
- Si la versión está entre 18.0 y 20.0, el sitio es vulnerable.
Mitigación y actualización
La forma más segura es actualizar la extensión a la última versión disponible, la cual corrige la deserialización del campo clfgd. Si la actualización no es posible, se recomienda desactivar o eliminar la extensión.
Checklist para administradores
- ☐ Verificar la versión actual de Aimy Captcha‑Less Form Guard.
- ☐ Descargar e instalar la versión más reciente.
- ☐ Realizar pruebas de funcionalidad tras la actualización.
- ☐ Revisar los registros de acceso en busca de intentos de inyección.
- ☐ Aplicar políticas de seguridad adicionales (por ejemplo, limitar el acceso a la extensión).
Preguntas frecuentes
- ¿Esta vulnerabilidad afecta a versiones anteriores de Joomla? No, la vulnerabilidad está limitada a la extensión Aimy Captcha‑Less Form Guard versiones 18.0 a 20.0.
- ¿Puedo desactivar la extensión sin perder funcionalidad? Sí, la extensión es opcional; su desactivación no afecta a las demás funcionalidades del sitio.
- ¿Hay alguna mitigación temporal? La única mitigación es desactivar la extensión o restringir el acceso al campo
clfgdmediante reglas de firewall. - ¿Cómo puedo comprobar si mi sitio ha sido comprometido? Revisa los logs de PHP y web en busca de ejecuciones de código inesperadas y solicita un análisis de seguridad.