--- title: "iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO - Joomla Guru" description: "iCagenda 4.0.17 poprawia pole URL wydarzenia i eksport CSV. Na Joomla 3 poprawka jest tylko w PRO 3.9.17. Pobierz pakiet i sprawdź stare eksporty." url: "https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja" date: "2026-10-28T10:55:12+00:00" language: "pl-PL" --- ![iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) # iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO [Autor: Marcin Równicki](https://www.joomlaguru.pl/marcin-rownicki) Publikacja: 28.10.2026 | 8:50 [Kategoria: Joomla](https://www.joomlaguru.pl/joomla) [FAQ](#faq) --- **iCagenda 4.0.17 z 27 października 2026 r. usuwa XSS w polu URL wydarzenia oraz wstrzykiwanie formuł do eksportu CSV.** Aktualizacja obejmuje Core i PRO na Joomla 4, 5 i 6. Dla Joomla 3 poprawka jest dostępna tylko w **PRO 3.9.17**. Producent podaje identyfikatory CVE-2026-102790 i CVE-2026-102799. Na 28 października nie znaleźliśmy jeszcze ich publicznych rekordów. Oceny „High” i „Medium” przytaczamy jako klasyfikację producenta, bez dopisywania wyników CVSS. Joomla Guru może wykonać [kopię, aktualizację i test zapisów na wydarzenia](https://www.joomlaguru.pl/uslugi/opieka-serwisowa-joomla). Jeśli podejrzewasz wykorzystanie złośliwych treści, pomagamy w [analizie incydentu](https://www.joomlaguru.pl/uslugi/usuwanie-wirusow). ## Spis treści 1. [Dwa różne scenariusze](https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja#dwa-rozne-scenariusze) 2. [Joomla 3: bezpłatna gałąź bez nowej poprawki](https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja#joomla-3-bezplatna-galaz-bez-nowej-poprawki) 3. [Pobieranie i test po aktualizacji](https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja#pobieranie-i-test-po-aktualizacji) 4. [Źródła](https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja#zrodla) ## Dwa różne scenariusze | Problem | Zakres według producenta | Gdzie pojawia się skutek | |---|---|---| | XSS w polu URL | 3.2.1–4.0.16; High | Przy wyświetleniu wydarzenia z przygotowaną wartością pola. | | Formuła w CSV | 3.5.0–4.0.16; Medium | Po eksporcie danych zapisów i otwarciu pliku w arkuszu. | Pierwszy problem dotyczy pola niestandardowego typu URL. Jego przygotowana wartość mogła doprowadzić do uruchomienia skryptu w przeglądarce odbiorcy. Znaczenie ma dostęp do zgłaszania wydarzeń. Nie zakładaj, że formularz jest anonimowy: zależy to od jego udostępnienia i uprawnień w witrynie. Drugi problem przenosi ryzyko z formularza do programu otwierającego CSV. Wartość zapisana jako dane może zostać rozpoznana przez arkusz jako formuła. Atak wymaga eksportu i otwarcia pliku przez odbiorcę; nie oznacza bezpośredniego wykonania kodu na serwerze Joomla. Po poprawce wygeneruj pliki CSV ponownie, zamiast używać wcześniejszych eksportów. ## Joomla 3: bezpłatna gałąź bez nowej poprawki [Oficjalny komunikat Jooml!C](https://www.joomlic.com/news/icagenda-security-update/icagenda-security-update-version-4-0-17) wskazuje 4.0.17 dla Joomla 4–6 i PRO 3.9.17 dla Joomla 3. Bezpłatna gałąź 3.9 zakończyła wsparcie 13 października 2026 r. Wsparcie bezpieczeństwa PRO dla tej linii producent zapowiada do 13 października 2027 r. Na Joomla 3 nie traktuj najnowszego bezpłatnego 3.9 jako rozwiązania tych problemów. Sprawdź możliwość użycia PRO albo zaplanuj aktualizację CMS. Nie instaluj pakietu 4.0.17 przeznaczonego dla nowszej Joomla bezpośrednio na Joomla 3. ## Pobieranie i test po aktualizacji [**Pobierz iCagenda Core 4.0.17 ZIP →**](https://www.joomlic.com/download/icagenda/icagenda-core-4-0-17/package-icagenda-core-4-0-17-zip?format=zip) [Strona wydania Core](https://www.joomlic.com/download/icagenda/icagenda-core-4-0-17) podaje zgodność od Joomla 4.2. Dla PRO wybierz pakiet w swoim koncie producenta; informacje o edycjach są na [stronie iCagenda](https://www.joomlic.com/extensions/icagenda). 1. Wykonaj kopię i sprawdź wersję Joomla oraz edycję komponentu. 2. Zainstaluj właściwy pakiet: 4.0.17 na obsługiwanej Joomla 4–6 lub PRO 3.9.17 na Joomla 3. Potwierdź numer po instalacji. 3. Przetestuj zgłoszenie wydarzenia, własne pole URL i formularz zapisów. Sprawdź eksport na nieprodukcyjnych danych. 4. Odtwórz potrzebne pliki CSV po aktualizacji. Przejrzyj wcześniej zgłoszone wartości pól i podejrzane wydarzenia. Powiadomienie o nowej wersji nie zawsze pojawia się od razu. Jeśli nie możesz od razu wdrożyć poprawki, producent zaleca wyłączenie pozycji menu zgłaszania wydarzeń od frontu i wstrzymanie eksportu CSV. Samo ukrycie linku w menu nie powinno być traktowane jako zamiennik kontroli dostępu. Poprzedni problem modułu kalendarza opisaliśmy w [artykule o iCagenda 4.0.13](https://www.joomlaguru.pl/joomla/krytyczna-luka-sql-injection-icagenda-cve-2026-67365-aktualizacja-4-0-13). Tamta poprawka nie obejmuje obecnych błędów. ## Źródła - [Jooml!C: komunikat bezpieczeństwa i identyfikatory CVE](https://www.joomlic.com/news/icagenda-security-update/icagenda-security-update-version-4-0-17) - [iCagenda Core 4.0.17: wydanie i wymagania](https://www.joomlic.com/download/icagenda/icagenda-core-4-0-17) - [iCagenda: edycje i dostęp do PRO](https://www.joomlic.com/extensions/icagenda) Aktualizacja: 28.10.2026 | 0:32 [ Zostaw opinie ](https://g.page/r/Cfa6o9akPR8PEBE/review) [ Preferuj to źródło w Google ](https://www.google.com/preferences/source?q=joomlaguru.pl) **Zostaw Opinie:** Jeśli uzałeś/aś że znalezione materiały na stronię są wartościowe lub miałeś styczność z naszymi usługami. To zachęcamy do pozostawienia opini o Joomla Guru. To nic nie kosztuje, a nam pomaga w rozwoju. **Preferuj źródło** w Google dzięki temu możesz wskazać iż joomlaguru.pl jest wartościowym źródłem wiedzy dla Ciebie. ### FAQ --- ### Który pakiet jest dla Joomla 3? Poprawka to PRO 3.9.17 dla subskrybentów. Bezpłatna gałąź 3.9 nie otrzymała tej aktualizacji. ### Kiedy ujawnia się problem CSV? Gdy zapisane dane zostaną wyeksportowane, a odbiorca otworzy CSV w programie interpretującym formuły. ### Czy stare pliki CSV stają się bezpieczne po aktualizacji? Nie. Wygeneruj eksporty ponownie i nie otwieraj podejrzanych wcześniejszych plików bez analizy. ### Czy identyfikatory CVE są już publiczne? Producent podaje CVE-2026-102790 i CVE-2026-102799. Na 28 października nie znaleźliśmy ich opublikowanych rekordów ani wyników CVSS. ### Co zrobić przed wdrożeniem poprawki? Producent zaleca wyłączenie frontendowego zgłaszania wydarzeń i wstrzymanie eksportu CSV. Zaplanuj aktualizację właściwej edycji. --- [![Marcin Równicki Najlepszy ekspert od Joomla i Yootheme PRO w Polsce! Właściciel Joomlaguru.pl](https://www.joomlaguru.pl/images/Marcin-Rownicki-PM-2025.webp)](https://www.joomlaguru.pl/marcin-rownicki) #### [ O Marcin Równicki ](https://www.joomlaguru.pl/marcin-rownicki) Z Joomla pracuję od czasów Mambo (2008), dzięki czemu znam ten system od jego początków aż po najnowsze wydania. Specjalizuję się w budowie i modernizacji stron, migracjach, bezpieczeństwie, usuwaniu skutków włamań oraz stałej opiece technicznej. Tworzę rozwiązania możliwie blisko core Joomla i pracuję z YOOtheme Pro, dbając o wygodne zarządzanie stroną, jej wydajność oraz bezpieczne aktualizacje. Joomla Guru wyrosło z wieloletniego bloga, którego celem było praktyczne wspieranie użytkowników i administratorów Joomla. [ Więcej o autorze ](https://www.joomlaguru.pl/marcin-rownicki "Więcej o autorze Marcin Równicki ekspert od Joomla i YooTheme PRO") ## Powiązane [ ![Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych Więcej ](https://www.joomlaguru.pl/joomla/quix-6-4-0-ochrona-dostepu-do-artykulow) [ ![Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0 Więcej ](https://www.joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection) [ ![DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3 Więcej ](https://www.joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Start", "item": "https://www.joomlaguru.pl" }, { "@type": "ListItem", "position": 2, "name": "Joomla", "item": "https://www.joomlaguru.pl/joomla" }, { "@type": "ListItem", "position": 3, "name": "iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO", "item": "https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja" } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://www.joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja" }, "headline": "iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO", "description": "iCagenda 4.0.17 z 27 października 2026 r. usuwa XSS w polu URL wydarzenia oraz wstrzykiwanie formuł do eksportu CSV. Aktualizacja obejmuje Core i PRO na Joomla 4, 5 i 6. Dla Joomla 3 poprawka jest dostępna tylko w PRO 3.9.17. Producent podaje identyfikatory CVE-2026-102790 i CVE-2026-102799. Na 28 października nie znaleźliśmy jeszcze ich publicznych rekordów. Oceny „High” i „Medium” przytaczamy jako klasyfikację producenta, bez dopisywania wyników CVSS. Joomla Guru może wykonać kopię, aktualizację i test zapisów na wydarzenia. Jeśli podejrzewasz wykorzystanie złośliwych treści, pomagamy w analizie incydentu.", "image": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp" }, "publisher": { "@type": "Organization", "name": "Joomla Guru", "logo": { "@type": "ImageObject", "url": "https://www.joomlaguru.pl/images/logo-joomla-guru.svg" } }, "author": { "@type": "Person", "name": "Marcin Równicki", "url": "https://joomlaguru.pl/marcin-rownicki" }, "datePublished": "2026-10-28T08:50:05+01:00", "dateCreated": "2026-10-28T08:50:05+01:00", "dateModified": "2026-10-28T00:32:33+01:00" } ```