Vulnerabilidad en TF Content para Joomla: versiones 2.9.0 a 2.9.4

Vulnerabilidad en TF Content para Joomla: versiones 2.9.0 a 2.9.4

Qué es y a quién afectaLa National Vulnerability Database (NVD) del NIST ha publicado el CVE-2026-102780, un fallo que afecta a la extensión TF Conten...

Qué es y a quién afecta

La National Vulnerability Database (NVD) del NIST ha publicado el CVE-2026-102780, un fallo que afecta a la extensión TF Content del fabricante techfry (joomlafry.com), distribuida para Joomla. El problema está catalogado con un tipo de fallo CWE-862 (falta de comprobación de autorización) y CWE-915 (asignación masiva de propiedades sin control).

Metáfora de un invitado manipulando registros de una extensión de Joomla sin autorización

Las versiones afectadas son las que van desde la 2.9.0 (incluida) hasta la 2.9.4 (incluida). La gravedad asignada es CVSS 4.0 de 6.9, es decir, MEDIUM: no es una vulnerabilidad crítica, pero tampoco debe tomarse a la ligera en un sitio en producción.

El fallo reside en el RecordController público de la extensión. Según la descripción de la NVD, ese controlador autoriza sin condiciones tanto la creación como la edición de registros. Su controlador compartido de guardado en el frontend acepta el array jform tal cual, asigna el identificador de un registro existente que llega en la petición y lo guarda sin filtrar las propiedades enviadas por el formulario configurado.

En la práctica, esto significa que un invitado (un usuario no autenticado) puede obtener un token válido desde el formulario público de acceso de Joomla y modificar cualquier fila de TF Content. Además, puede asignar de forma masiva campos sensibles como published, access y created_by, lo que abre la puerta a publicar contenido no deseado, cambiar su visibilidad o alterar su autoría.

El vector CVSS (AV:N/AC:L/AT:N/PR:N/UI:N) confirma que el ataque puede lanzarse por red, sin privilegios previos y sin interacción del usuario. Es decir, no hace falta ser administrador ni engañar a nadie del equipo: basta con alcanzar el sitio.

Por qué conviene actuar sin esperar

Este CVE no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando de forma activa en ataques reales. Tampoco existe, por tanto, un plazo obligatorio de remediación marcado por CISA para este caso concreto.

Eso no lo convierte en un asunto menor. Un fallo de control de acceso explotable sin autenticación sobre una extensión de Joomla es un objetivo apetecible para escaneos automatizados: los atacantes recorren miles de sitios buscando componentes vulnerables y no necesitan un exploit sofisticado, solo una petición bien construida. En sitios con contenido público, comercio o formularios, la manipulación de registros puede derivar en desfiguración, contenido fraudulento o pérdida de confianza de los visitantes.

Qué hacer hoy

  • Comprueba si usas TF Content. Entra en el panel de administración de Joomla y revisa la lista de extensiones instaladas. Si no la tienes, no hay nada que hacer por este CVE.
  • Mira la versión exacta. Si estás en cualquier versión entre la 2.9.0 y la 2.9.4, estás dentro del rango afectado.
  • Aplica la actualización o mitigación que indique el aviso del fabricante. La NVD no detalla en este caso una versión corregida, así que lo correcto es consultar la información oficial de techfry (joomlafry.com) y seguir sus instrucciones. Si no hay actualización disponible, valora despublicar o desinstalar temporalmente la extensión hasta que exista una solución.
  • Revisa indicios de intrusión. Busca registros de TF Content creados o modificados por autores que no reconozcas, cambios de estado de publicación o de nivel de acceso, y alteraciones en el campo de autoría. Revisa también los logs de acceso en busca de peticiones al controlador de guardado desde sesiones de invitado.
  • Reduce lo expuesto a internet. Restringe el acceso al panel de administración por IP cuando sea posible, mantén Joomla y el resto de extensiones al día, y aplica el principio de mínimo privilegio a las cuentas con permisos de edición.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Cataluña y del resto de España que tienen webs en WordPress, PrestaShop o Joomla y, en muchos casos, un equipo de IT reducido o compartido con otras tareas. En ese contexto, seguir el rastro de cada CVE publicado y comprobar si afecta a un componente concreto es complicado.

Nuestro enfoque pasa por detectar y cerrar vulnerabilidades antes de que alguien las explote: auditorías de seguridad y pentesting, hardening de servidores, monitorización y respuesta a incidentes, mantenimiento y actualización de WordPress, PrestaShop y Joomla, y reparación de webs que ya han sido hackeadas. En un caso como el de TF Content, esto se traduce en inventariar las extensiones instaladas, verificar versiones frente a los avisos publicados, aplicar las actualizaciones o mitigaciones que marque el fabricante y revisar los indicios de manipulación de contenido.

Si gestionas un sitio Joomla con extensiones de terceros y no tienes claro qué versión corre en producción, es un buen momento para poner orden en ese inventario. La mayoría de incidentes que atendemos no vienen de ataques sofisticados, sino de componentes desactualizados que nadie había revisado.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.