DJ-HelpfulArticles 1.3 usuwa zapisany XSS, który anonimowy odwiedzający mógł umieścić w danych głosowania pod artykułem. Skrypt uruchamiał się później w panelu administratora, przy otwarciu przeglądu opinii. CVE-2026-102800 ma ocenę CVSS 4.0: 8,7 (wysoka).
Rekord Joomla CNA obejmuje wersje 1.0.0–1.2.0. Poprawione wydanie jest oznaczone jako 1.3 lub 1.3.0. Jeżeli używasz modułu z pytaniem, czy artykuł był pomocny, zaktualizuj cały pakiet i przejrzyj zapisane wcześniej dane.
Joomla Guru może wykonać aktualizację dodatku i kontrolę formularzy. Przy podejrzanych wpisach albo nieoczekiwanych zmianach kont pomagamy również w analizie incydentu.
Spis treści
Dlaczego zwykłe głosowanie mogło zaszkodzić?
Publiczne akcje AJAX przyjmowały pole ip przesłane przez przeglądarkę. Atakujący nie musiał wpisywać rzeczywistego adresu IP. Wartość trafiała do bazy, a następnie do panelu Helpful articles bez odpowiedniego kodowania HTML.
Zabezpieczenie wartości na potrzeby zapytania SQL nie zapewnia bezpieczeństwa późniejszego wyświetlenia w HTML. W tym przypadku zapis w bazie utrwalał problem: administrator mógł otworzyć listę opinii już po zakończeniu żądania atakującego. Samo obejrzenie panelu stawało się momentem uruchomienia skryptu.
| Etap | Znaczenie |
|---|---|
| Wysłanie głosu | Publiczne AJAX; osoba atakująca nie potrzebuje konta. |
| Zapis danych | Wartość IP pochodziła od klienta i mogła zawierać przygotowaną treść. |
| Przegląd opinii | Niebezpieczna zawartość trafiała do HTML panelu administratora. |
To luka XSS w przeglądarce administratora. Nie utożsamiamy jej z samodzielnym wykonaniem PHP na serwerze.
Co producent zmienił w 1.3?
DJ-Extensions potwierdza aktualizację bezpieczeństwa. Adres IP jest pobierany z połączenia po stronie serwera i sprawdzany; wartość od klienta nie stanowi już źródła tej informacji. Poprawiono także kodowanie danych wyświetlanych w panelu, m.in. adresów IP, tytułów i powodów opinii. Producent i rekord CVE przypisują zgłoszenie Ala Arfaoui.
Pobierz pakiet i przejrzyj stare rekordy
Pobierz DJ-HelpfulArticles z konta producenta →
Produkt jest dostępny w oficjalnym katalogu bezpłatnych rozszerzeń. Pobranie może wymagać zalogowania.
- Wykonaj kopię i potwierdź wersję komponentu oraz modułu głosowania.
- Zainstaluj 1.3 i przetestuj oddanie głosu oraz przegląd opinii. Jeśli monit nie dotarł, sprawdź pakiet ręcznie.
- Przejrzyj istniejące wpisy IP i treści opinii. Aktualizacja nie usuwa wcześniej zapisanych złośliwych rekordów.
- Jeśli administrator otwierał podejrzane dane, sprawdź sesje, konta i nieoczekiwane zmiany w Joomla. Samo usunięcie jednego głosu nie kończy analizy.
Źródła
FAQ
