HikaShop 6.8.1 zamyka błąd pozwalający pobrać plik z chronionego katalogu sklepu przez pole, które w ogóle nie służy do przesyłania plików. Mogły to być także pliki sprzedawanych produktów cyfrowych. Zaktualizuj sklep również wtedy, gdy 5 listopada 2026 r. zainstalowałeś wcześniejsze wydanie 6.8.0.
Co było nie tak z pobieraniem?
Oficjalny changelog 6.8.1 opisuje żądanie pobrania wskazujące zwykłe pole tekstowe, np. tekst graweru przy pozycji koszyka albo nazwę w adresie. Wpisanie nazwy pliku z chronionego katalogu przesyłania pozwalało następnie pobrać go przez mechanizm sklepu. Poprawka odrzuca takie żądania, jeśli wskazane pole nie jest polem przesyłania pliku.
To istotne dla sklepów z e-bookami, oprogramowaniem, muzyką lub materiałami do pobrania. Kontrola dostępu do pliku musi sprawdzać nie tylko zgodność nazwy, ale też to, czy użytkownik rzeczywiście może skorzystać z danego mechanizmu pobierania. Sam rekord zakupu lub obecność formularza nie chroni przed błędem w innym punkcie dostępu.
| Wersja | Co zrobić |
|---|---|
| 6.8.1 | Wydanie zawierające opisaną kontrolę typu pola. |
| 6.8.0 | Zaktualizuj ponownie. Jego ogólny wpis o bezpieczeństwie plików nie zastępuje poprawki z 6.8.1. |
| Starsza wersja | Sprawdź zgodność i przejdź na aktualne poprawione wydanie. |
Pobierz aktualizację HikaShop
Pobierz HikaShop Starter →. To bieżący pakiet bezpłatnej edycji, więc po instalacji sprawdź, czy ma co najmniej numer 6.8.1. Dla Essential i Business pobierz odpowiedni pakiet ze swojego konta przez oficjalną stronę pobierania HikaShop. Nie zastępuj płatnej edycji Starterem tylko dlatego, że link jest publiczny.
Jeśli Joomla nie pokazuje nowej wersji, odśwież listę aktualizacji i porównaj numer z producentem. Powiadomienie może pojawić się z opóźnieniem. Ważny jest zainstalowany numer, nie sam fakt wykonania aktualizacji dzień wcześniej.
- Zrób kopię plików i bazy. Przy sklepie z własnymi integracjami najpierw sprawdź aktualizację na zabezpieczonej kopii.
- Po wdrożeniu sprawdź zamówienie, płatność i legalne pobieranie produktu cyfrowego. Przetestuj też pola personalizacji i załączniki klientów.
- Przejrzyj logi pobierania i serwera pod kątem nietypowych żądań oraz dostępu bez odpowiadającego mu zakupu. Samej nieobecności wpisu w jednym logu nie traktuj jako dowodu, że nic się nie wydarzyło.
Podczas kontroli 6 listopada nie znaleźliśmy publicznego CVE przypisanego tej poprawce. Nie podajemy nieoficjalnej oceny jako wyniku CVSS organizacji CNA. Ujawnienie plików nie jest też samo w sobie dowodem wykonania kodu na serwerze.
W ramach opieki serwisowej Joomla pomagamy wykonać kopię, aktualizację i test strony. Przy podejrzeniu incydentu oferujemy także analizę i usuwanie złośliwego kodu. Aktualizacja nie usuwa automatycznie skutków wcześniejszego naruszenia.
Źródła
Oficjalny changelog HikaShop 6.8.1, changelog 6.8.0 i pakiety producenta.
FAQ
