--- title: "DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3 - Joomla Guru" description: "DJ-HelpfulArticles 1.3 usuwa XSS dostępny bez logowania. CVE-2026-102800 ma CVSS 8,7. Zaktualizuj dodatek i sprawdź wcześniejsze głosy." url: "https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora" date: "2026-10-28T10:55:12+00:00" language: "pl-PL" --- ![DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) # DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3 [Autor: Marcin Równicki](https://www.joomlaguru.pl/marcin-rownicki) Publikacja: 28.10.2026 | 6:10 [Kategoria: Joomla](https://www.joomlaguru.pl/joomla) [FAQ](#faq) --- **DJ-HelpfulArticles 1.3 usuwa zapisany XSS, który anonimowy odwiedzający mógł umieścić w danych głosowania pod artykułem.** Skrypt uruchamiał się później w panelu administratora, przy otwarciu przeglądu opinii. [CVE-2026-102800](https://www.cve.org/CVERecord?id=CVE-2026-102800) ma ocenę **CVSS 4.0: 8,7 (wysoka)**. Rekord Joomla CNA obejmuje wersje 1.0.0–1.2.0. Poprawione wydanie jest oznaczone jako 1.3 lub 1.3.0. Jeżeli używasz modułu z pytaniem, czy artykuł był pomocny, zaktualizuj cały pakiet i przejrzyj zapisane wcześniej dane. Joomla Guru może wykonać [aktualizację dodatku i kontrolę formularzy](https://www.joomlaguru.pl/uslugi/opieka-serwisowa-joomla). Przy podejrzanych wpisach albo nieoczekiwanych zmianach kont pomagamy również w [analizie incydentu](https://www.joomlaguru.pl/uslugi/usuwanie-wirusow). ## Spis treści 1. [Dlaczego zwykłe głosowanie mogło zaszkodzić?](https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora#dlaczego-zwykle-glosowanie-moglo-zaszkodzic) 2. [Co producent zmienił w 1.3?](https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora#co-producent-zmienil-w-1-3) 3. [Pobierz pakiet i przejrzyj stare rekordy](https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora#pobierz-pakiet-i-przejrzyj-stare-rekordy) 4. [Źródła](https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora#zrodla) ## Dlaczego zwykłe głosowanie mogło zaszkodzić? Publiczne akcje AJAX przyjmowały pole `ip` przesłane przez przeglądarkę. Atakujący nie musiał wpisywać rzeczywistego adresu IP. Wartość trafiała do bazy, a następnie do panelu Helpful articles bez odpowiedniego kodowania HTML. Zabezpieczenie wartości na potrzeby zapytania SQL nie zapewnia bezpieczeństwa późniejszego wyświetlenia w HTML. W tym przypadku zapis w bazie utrwalał problem: administrator mógł otworzyć listę opinii już po zakończeniu żądania atakującego. Samo obejrzenie panelu stawało się momentem uruchomienia skryptu. | Etap | Znaczenie | |---|---| | Wysłanie głosu | Publiczne AJAX; osoba atakująca nie potrzebuje konta. | | Zapis danych | Wartość IP pochodziła od klienta i mogła zawierać przygotowaną treść. | | Przegląd opinii | Niebezpieczna zawartość trafiała do HTML panelu administratora. | **To luka XSS w przeglądarce administratora.** Nie utożsamiamy jej z samodzielnym wykonaniem PHP na serwerze. ## Co producent zmienił w 1.3? [DJ-Extensions potwierdza aktualizację bezpieczeństwa](https://dj-extensions.com/pl/blog/ogolne/dj-helpfularticles-1-3-aktualizacja-bezpieczenstwa). Adres IP jest pobierany z połączenia po stronie serwera i sprawdzany; wartość od klienta nie stanowi już źródła tej informacji. Poprawiono także kodowanie danych wyświetlanych w panelu, m.in. adresów IP, tytułów i powodów opinii. Producent i rekord CVE przypisują zgłoszenie Ala Arfaoui. ## Pobierz pakiet i przejrzyj stare rekordy [**Pobierz DJ-HelpfulArticles z konta producenta →**](https://dj-extensions.com/my-account/downloads/dj-helpfularticles) Produkt jest dostępny w [oficjalnym katalogu bezpłatnych rozszerzeń](https://dj-extensions.com/products/joomla-extensions/free/dj-helpfularticles). Pobranie może wymagać zalogowania. 1. Wykonaj kopię i potwierdź wersję komponentu oraz modułu głosowania. 2. Zainstaluj 1.3 i przetestuj oddanie głosu oraz przegląd opinii. Jeśli monit nie dotarł, sprawdź pakiet ręcznie. 3. Przejrzyj istniejące wpisy IP i treści opinii. Aktualizacja nie usuwa wcześniej zapisanych złośliwych rekordów. 4. Jeśli administrator otwierał podejrzane dane, sprawdź sesje, konta i nieoczekiwane zmiany w Joomla. Samo usunięcie jednego głosu nie kończy analizy. ## Źródła - [CVE-2026-102800](https://www.cve.org/CVERecord?id=CVE-2026-102800) - [DJ-Extensions: komunikat bezpieczeństwa](https://dj-extensions.com/pl/blog/ogolne/dj-helpfularticles-1-3-aktualizacja-bezpieczenstwa) - [DJ-Extensions: pobieranie pakietu](https://dj-extensions.com/my-account/downloads/dj-helpfularticles) Aktualizacja: 28.10.2026 | 0:33 [ Zostaw opinie ](https://g.page/r/Cfa6o9akPR8PEBE/review) [ Preferuj to źródło w Google ](https://www.google.com/preferences/source?q=joomlaguru.pl) **Zostaw Opinie:** Jeśli uzałeś/aś że znalezione materiały na stronię są wartościowe lub miałeś styczność z naszymi usługami. To zachęcamy do pozostawienia opini o Joomla Guru. To nic nie kosztuje, a nam pomaga w rozwoju. **Preferuj źródło** w Google dzięki temu możesz wskazać iż joomlaguru.pl jest wartościowym źródłem wiedzy dla Ciebie. ### FAQ --- ### Czy atakujący potrzebuje konta? Nie. Rekord CVE opisuje publiczne akcje AJAX dostępne bez logowania. ### Jaką wersję zainstalować? DJ-HelpfulArticles 1.3, oznaczane także jako 1.3.0. Rekord CVE obejmuje wersje 1.0.0–1.2.0. ### Czy aktualizacja usuwa stare wpisy? Nie. Przejrzyj zapisane wcześniej dane i w razie podejrzenia incydentu sprawdź działania administratora. ### Kiedy uruchamia się skrypt? Gdy administrator otworzy widok zawierający zapisane, niebezpieczne dane opinii. ### Gdzie jest oficjalny pakiet? W panelu pobierania DJ-Extensions. Produkt jest bezpłatny, ale pobranie może wymagać konta. --- [![Marcin Równicki Najlepszy ekspert od Joomla i Yootheme PRO w Polsce! Właściciel Joomlaguru.pl](https://www.joomlaguru.pl/images/Marcin-Rownicki-PM-2025.webp)](https://www.joomlaguru.pl/marcin-rownicki) #### [ O Marcin Równicki ](https://www.joomlaguru.pl/marcin-rownicki) Z Joomla pracuję od czasów Mambo (2008), dzięki czemu znam ten system od jego początków aż po najnowsze wydania. Specjalizuję się w budowie i modernizacji stron, migracjach, bezpieczeństwie, usuwaniu skutków włamań oraz stałej opiece technicznej. Tworzę rozwiązania możliwie blisko core Joomla i pracuję z YOOtheme Pro, dbając o wygodne zarządzanie stroną, jej wydajność oraz bezpieczne aktualizacje. Joomla Guru wyrosło z wieloletniego bloga, którego celem było praktyczne wspieranie użytkowników i administratorów Joomla. [ Więcej o autorze ](https://www.joomlaguru.pl/marcin-rownicki "Więcej o autorze Marcin Równicki ekspert od Joomla i YooTheme PRO") ## Powiązane [ ![iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO Więcej ](https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja) [ ![Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych Więcej ](https://www.joomlaguru.pl/joomla/quix-6-4-0-ochrona-dostepu-do-artykulow) [ ![Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0 Więcej ](https://www.joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Start", "item": "https://www.joomlaguru.pl" }, { "@type": "ListItem", "position": 2, "name": "Joomla", "item": "https://www.joomlaguru.pl/joomla" }, { "@type": "ListItem", "position": 3, "name": "DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3", "item": "https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora" } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora" }, "headline": "DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3", "description": "DJ-HelpfulArticles 1.3 usuwa zapisany XSS, który anonimowy odwiedzający mógł umieścić w danych głosowania pod artykułem. Skrypt uruchamiał się później w panelu administratora, przy otwarciu przeglądu opinii. CVE-2026-102800 ma ocenę CVSS 4.0: 8,7 (wysoka). Rekord Joomla CNA obejmuje wersje 1.0.0–1.2.0. Poprawione wydanie jest oznaczone jako 1.3 lub 1.3.0. Jeżeli używasz modułu z pytaniem, czy artykuł był pomocny, zaktualizuj cały pakiet i przejrzyj zapisane wcześniej dane. Joomla Guru może wykonać aktualizację dodatku i kontrolę formularzy. Przy podejrzanych wpisach albo nieoczekiwanych zmianach kont pomagamy również w analizie incydentu.", "image": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp" }, "publisher": { "@type": "Organization", "name": "Joomla Guru", "logo": { "@type": "ImageObject", "url": "https://www.joomlaguru.pl/images/logo-joomla-guru.svg" } }, "author": { "@type": "Person", "name": "Marcin Równicki", "url": "https://joomlaguru.pl/marcin-rownicki" }, "datePublished": "2026-10-28T06:10:58+01:00", "dateCreated": "2026-10-28T06:10:58+01:00", "dateModified": "2026-10-28T00:33:00+01:00" } ```