Joomla 擴充信任邊界漏洞：Sourcerer 與 Articles Anywhere 須一併更新

CVE-2026-102802

主要來源公告：2026-10-31

本站刊登：2026-11-03 · 內容更新：2026-11-03（香港日期）

情報摘要

CVE-2026-102802 涉及 Sourcerer 與 Articles Anywhere 組合使用時的 PHP 信任判斷。Regular Labs 已於 10 月 31 日推出 Sourcerer 17.0.1 及 Articles Anywhere 20.1.1；兩邊更新互相依賴。

Joomla CNA 於 11 月 2 日公開記錄；列出的受影響範圍為 Sourcerer Free 13.0.0 至 17.0.0、Pro 3.0.0 至 17.0.0，及 Articles Anywhere 1.4.5 至 20.1.0。修補發布日與 CVE 公開日不同。

當 Articles Anywhere 先於 Sourcerer 處理嵌入文章，且 Force Content Triggers 關閉時，嵌入文章的 Sourcerer 程式碼可能按外層文章的信任身分，而非自身身分獲准執行。一般 Articles Anywhere 輸出本身並不是漏洞。

Regular Labs Sourcerer Free／Pro 及 Articles Anywhere（Joomla 擴充）

使用相關產品的香港系統管理及資訊保安團隊

核對兩項擴充的版本及實際使用方式，一併更新至 Sourcerer 17.0.1 和 Articles Anywhere 20.1.1 或更新修補版本；完成後核對文章信任設定及頁面功能。兩份官方更新記錄均註明需搭配另一項已更新擴充，不應只更新其一便視為完成。

Joomla CNA 的 CVE 記錄評為 High，CVSS 4.0 為 8.9，向量包含高權限要求（PR:H）及額外攻擊條件（AT:P）；不能表述為所有 Joomla 網站均可被未認證攻擊者接管。

風險取決於兩項擴充的組合、版本、處理順序與信任設定；不能把特定擴充漏洞概括為 Joomla 核心漏洞。

本次核實沒有建立野外利用或香港受影響網站數目的證據；亦未以第三方索引推斷 CISA KEV 狀態。