[20180501] - Core - ACL Verletzung in Zugriffsebenen

Schwere: Low
Version: 2.5.0 - 3.8.7
Sicherheitslücke: Durch unzureichende Überprüfungen konnten Benutzer die Zugriffsebenen von Benutzergruppen mit höheren Berechtigungen ändern.
Entdeckt: 08.03.2018
Behoben: 22.05.2018

[20180502] - Core - Hinzufügen von PHAR-Dateien in der Upload-Blacklist

Schwere: Low
Version: 2.5.0 - 3.8.7
Sicherheitslücke: Abhängig von der Serverkonfiguration werden PHAR-Dateien vom Webserver als ausführbare PHP-Skripte behandelt.
Entdeckt: 14.05.2018
Behoben: 22.05.2018

[20180503] - Core - bekannte Information über nicht veröffentlichte Tags

Schwere: Moderate
Version: 3.1.0 - 3.8.7
Sicherheitslücke: Bei unzureichenden Überprüfungen konnten die Benutzer die Namen von Tags anzeigen, die entweder nicht veröffentlicht oder mit eingeschränkter Anzeigeberechtigung veröffentlicht wurden.
Entdeckt: 27.04.2018
Behoben: 22.05.2018

[20180504] - Core - Installationsprogramm gibt das Klartextkennwort an den lokalen Benutzer aus

Schwere: Low
Version: 3.0.0 - 3.8.7
Sicherheitslücke: Die Web-Installationsanwendung würde nach einem Formularüberprüfungsfehler oder dem Navigieren zu einem vorherigen Installationsschritt automatisch Kennwortfelder ausfüllen und das Klartextkennwort für das Administratorkonto auf dem Bestätigungsbildschirm anzeigen.
Entdeckt: 09.02.2018
Behoben: 22.05.2018

[20180505] - Core - XSS angreifbar

Schwere: Moderate
Version: 3.0.0 - 3.8.7
Sicherheitslücke: Unzureichende Eingabefilterung führt zu mehreren XSS-Schwachstellen. Darüber hinaus können die Standardeinstellungen für die Filterung möglicherweise Benutzern der standardmäßigen Administratorbenutzergruppe die Ausführung eines XSS-Angriffs ermöglichen.
Entdeckt: 02.02.2018 und 27.03.2018
Behoben: 22.05.2018

[20180506] - Core - Filterfeld in com_fields ermöglicht Remotecodeausführung

Schwere: Low
Version: 3.7.0 - 3.8.7
Sicherheitslücke: Durch unzureichende Filterung können Benutzer, die zum Erstellen benutzerdefinierter Felder berechtigt sind, die Filteroptionen bearbeiten und eine nicht validierte Option einfügen.
Entdeckt: 14.03.2018
Behoben: 22.05.2018

[20180507] - Core - Session-Löschungs Bedingung

Schwere: Low
Version: 3.0.0 - 3.8.7
Sicherheitslücke: Ein lang andauernder Hintergrundprozess, z. B. Remote-Prüfungen für Kern- oder Erweiterungsupdates, könnte eine Race-Bedingung verursachen, bei der eine Sitzung, die voraussichtlich beendet wird, erneut erstellt wird.
Entdeckt: 22.03.2018
Behoben: 22.05.2018

[20180508] - Core - Möglicher XSS-Angriff in der Redirect-Methode

Schwere: Low
Version: 3.1.2 - 3.8.7
Sicherheitslücke: Unter bestimmten Umständen (eine Umleitung mit einem URI, der einen Benutzernamen und ein Kennwort enthält, wenn der Standort: -Header nicht verwendet werden kann), kann ein fehlendes Entweichen der Benutzerinformationskomponente des URI zu einer XSS-Sicherheitsanfälligkeit führen.
Entdeckt: 30.03.2018
Behoben: 22.05.2018

[20180509] - Core - XSS-Schwachstelle im Media Manager

Schwere: Low
Version: 1.5.0 - 3.8.7
Sicherheitslücke: Unzureichende Filterung von Datei- und Ordnernamen führt zu verschiedenen XSS-Angriffsvektoren im Medienmanager.
Entdeckt: 28.10.2017
Behoben: 22.05.2018

Lösung: Update auf Version 3.8.8

Quelle sowie weitere Information auf : developer.joomla.org/security-centre