--- title: "JReviews ujawniał sekrety w cache. Zaktualizuj i sprawdź klucze API - Joomla Guru" description: "JReviews 6.7.0 i 5.13.0 usuwają cache z sekretami. Dostępne jest już 6.7.1. CVE ma ocenę 8,2. Sprawdź stare pliki i potrzebę wymiany kluczy." url: "https://www.joomlaguru.pl/joomla/jreviews-wyciek-sekretow-cache-aktualizacja-bezpieczenstwa" date: "2026-11-07T16:20:28+00:00" language: "pl-PL" --- ![JReviews ujawniał sekrety w cache. Zaktualizuj i sprawdź klucze API](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) # JReviews ujawniał sekrety w cache. Zaktualizuj i sprawdź klucze API [Autor: Marcin Równicki](https://www.joomlaguru.pl/marcin-rownicki) Publikacja: 06.11.2026 | 17:17 [Kategoria: Joomla](https://www.joomlaguru.pl/joomla) [FAQ](#faq) --- **JReviews zapisywał poufne ustawienia w pliku cache dostępnym przez WWW.** Chodzi m.in. o sekret Joomla i klucze API zapisane w konfiguracji dodatku. Poprawka jest w wydaniach 6.7.0 i 5.13.0 z 4 listopada 2026 r. W gałęzi 6 dostępne jest już 6.7.1 z dodatkowymi poprawkami działania. ## Spis treści 1. [Publiczny CVE: ujawnienie konfiguracji](https://www.joomlaguru.pl/joomla/jreviews-wyciek-sekretow-cache-aktualizacja-bezpieczenstwa#publiczny-cve-ujawnienie-konfiguracji) 2. [Aktualizacja może nie wystarczyć, gdy sekret został już ujawniony](https://www.joomlaguru.pl/joomla/jreviews-wyciek-sekretow-cache-aktualizacja-bezpieczenstwa#aktualizacja-moze-nie-wystarczyc-gdy-sekret-zostal-juz-ujawniony) 3. [Gdzie pobrać i co przetestować?](https://www.joomlaguru.pl/joomla/jreviews-wyciek-sekretow-cache-aktualizacja-bezpieczenstwa#gdzie-pobrac-i-co-przetestowac) 4. [Źródła](https://www.joomlaguru.pl/joomla/jreviews-wyciek-sekretow-cache-aktualizacja-bezpieczenstwa#zrodla) ## Publiczny CVE: ujawnienie konfiguracji [CVE-2026-118494](https://www.cve.org/CVERecord?id=CVE-2026-118494), opublikowane 5 listopada, ma **CVSS 4.0: 8,2 (wysoka)**. Rekord obejmuje JReviews 1.0.0–5.12.0 oraz 6.0.0–6.6.9. Opis dotyczy komponentu Joomla, nie samego rdzenia CMS. JReviews przechowywał tabelę ustawień jako zserializowane dane w cache S2Framework pod katalogiem `components/com_s2framework/tmp/cache/core/`. Osoba znająca nazwę pliku mogła odczytać go bez logowania. To ważny warunek: rekord nie opisuje możliwości automatycznego wylistowania wszystkich plików. Jednocześnie brak listowania katalogu nie chroni pliku, którego dokładny adres jest znany. | Gałąź | Wydanie z poprawką | Zalecenie na 6 listopada | |---|---|---| | JReviews 6 | 6.7.0 | Sprawdź 6.7.1, które jest już dostępne. | | JReviews 5 | 5.13.0 | Zainstaluj 5.13.0 lub późniejsze zgodne wydanie. | ## Aktualizacja może nie wystarczyć, gdy sekret został już ujawniony Poza aktualizacją sprawdź stare pliki cache. Nie zakładaj, że zmiana sposobu zapisu nowych danych automatycznie usuwa każdą poprzednią kopię. Oczyść odpowiedni cache metodą zalecaną przez producenta i skontroluj zabezpieczenie katalogu na używanym serwerze WWW. Nie usuwaj w ciemno całego katalogu frameworka. Jeśli poufne wartości mogły zostać pobrane, rozważ ich wymianę: klucze usług zewnętrznych należy unieważnić u ich dostawców, a zmianę sekretu Joomla zaplanować z kopią i testem zależnych funkcji. Może wymagać ponownego logowania lub korekty integracji. Samo ukrycie pliku nie unieważnia danych, które ktoś wcześniej skopiował. ## Gdzie pobrać i co przetestować? [Przejdź do konta i pobierania JReviews →](https://account.jreviews.com/). Użyj pakietu zgodnego z gałęzią i swoim CMS. Sprawdź [aktualne wymagania](https://www.jreviews.com/docs/requirements); obecna dokumentacja wymienia Joomla 4, 5 i 6. Nie potwierdziliśmy poprawionego wydania dla Joomla 3. Stara instalacja wymaga uzgodnienia z producentem i planu migracji, nie wymuszonej instalacji niezgodnego pakietu. 1. Wykonaj kopię bazy i plików, a następnie zaktualizuj właściwą gałąź. 2. Potwierdź wersję oraz sprawdź katalog, recenzje, formularze i integracje wykorzystujące klucze API. 3. Przejrzyj logi dostępu do cache i ustal, które sekrety były zapisane. Nie publikuj ich w zgłoszeniach ani zrzutach ekranu. W 6.7.0 producent wymienia również poprawki praw dostępu do recenzji, tokenów formularzy i obsługi pól zapytań. Nie przypisujemy wszystkich zmian z tego wydania jednemu CVE. W ramach [opieki serwisowej Joomla](https://www.joomlaguru.pl/uslugi/opieka-serwisowa-joomla) pomagamy wykonać kopię, aktualizację i test strony. Przy podejrzeniu incydentu oferujemy także [analizę i usuwanie złośliwego kodu](https://www.joomlaguru.pl/uslugi/usuwanie-wirusow). Aktualizacja nie usuwa automatycznie skutków wcześniejszego naruszenia. ## Źródła [Rekord CVE-2026-118494](https://www.cve.org/CVERecord?id=CVE-2026-118494), [changelog JReviews 6](https://www.jreviews.com/changelogs?product=jreviews), [changelog JReviews 5](https://www.jreviews.com/changelogs?product=jreviews&version=5) i [wymagania producenta](https://www.jreviews.com/docs/requirements). Aktualizacja: 06.11.2026 | 17:17 [ Zostaw opinie ](https://g.page/r/Cfa6o9akPR8PEBE/review) [ Preferuj to źródło w Google ](https://www.google.com/preferences/source?q=joomlaguru.pl) **Zostaw Opinie:** Jeśli uzałeś/aś że znalezione materiały na stronię są wartościowe lub miałeś styczność z naszymi usługami. To zachęcamy do pozostawienia opini o Joomla Guru. To nic nie kosztuje, a nam pomaga w rozwoju. **Preferuj źródło** w Google dzięki temu możesz wskazać iż joomlaguru.pl jest wartościowym źródłem wiedzy dla Ciebie. ### FAQ --- ### Czy jest potwierdzona poprawka dla Joomla 3? Nie potwierdziliśmy takiego wydania. Obecne wymagania producenta wymieniają Joomla 4, 5 i 6; starsza strona wymaga planu migracji. ### Czy odczyt wymagał konta? Nie. Według CVE wymagał znajomości nazwy pliku cache dostępnego przez WWW. ### Jaką wersję JReviews zainstalować? Poprawka cache jest w 6.7.0 oraz 5.13.0. Na 6 listopada w gałęzi 6 dostępne jest już 6.7.1. Wybierz aktualne wydanie zgodne z instalacją. ### Czy dane były w konfiguracji Joomla? Cache JReviews zawierał własną kopię sekretu Joomla i ustawienia integracji, w tym zapisane klucze API. Problem nie wymagał bezpośredniego pobrania configuration.php. ### Czy trzeba wymienić klucze? Jeśli mogły zostać ujawnione, należy zaplanować ich unieważnienie i wymianę. Samo usunięcie publicznego pliku nie unieważnia skopiowanego sekretu. --- [![Marcin Równicki Najlepszy ekspert od Joomla i Yootheme PRO w Polsce! Właściciel Joomlaguru.pl](https://www.joomlaguru.pl/images/Marcin-Rownicki-PM-2025.webp)](https://www.joomlaguru.pl/marcin-rownicki) #### [ O Marcin Równicki ](https://www.joomlaguru.pl/marcin-rownicki) Z Joomla pracuję od czasów Mambo (2008), dzięki czemu znam ten system od jego początków aż po najnowsze wydania. Specjalizuję się w budowie i modernizacji stron, migracjach, bezpieczeństwie, usuwaniu skutków włamań oraz stałej opiece technicznej. Tworzę rozwiązania możliwie blisko core Joomla i pracuję z YOOtheme Pro, dbając o wygodne zarządzanie stroną, jej wydajność oraz bezpieczne aktualizacje. Joomla Guru wyrosło z wieloletniego bloga, którego celem było praktyczne wspieranie użytkowników i administratorów Joomla. [ Więcej o autorze ](https://www.joomlaguru.pl/marcin-rownicki "Więcej o autorze Marcin Równicki ekspert od Joomla i YooTheme PRO") ## Powiązane [ ![Gantry 5.6.7: aktualizacja bezpieczeństwa. Joomla 3 i 4 bez poprawionego pakietu](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Gantry 5.6.7: aktualizacja bezpieczeństwa. Joomla 3 i 4 bez poprawionego pakietu Więcej ](https://www.joomlaguru.pl/joomla/gantry-5-6-7-bezpieczenstwo-joomla-3-4-brak-poprawki) [ ![HikaShop 6.8.1 blokuje pobieranie płatnych plików przez zwykłe pole tekstowe](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### HikaShop 6.8.1 blokuje pobieranie płatnych plików przez zwykłe pole tekstowe Więcej ](https://www.joomlaguru.pl/joomla/hikashop-6-8-1-luka-pobieranie-platnych-plikow) [ ![Akeeba Backup i Admin Tools: nowy rekord CVE opisuje CSRF naprawiony w lipcu](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Akeeba Backup i Admin Tools: nowy rekord CVE opisuje CSRF naprawiony w lipcu Więcej ](https://www.joomlaguru.pl/joomla/akeeba-backup-admin-tools-csrf-poprawki-bezpieczenstwa) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Start", "item": "https://www.joomlaguru.pl" }, { "@type": "ListItem", "position": 2, "name": "Joomla", "item": "https://www.joomlaguru.pl/joomla" }, { "@type": "ListItem", "position": 3, "name": "JReviews ujawniał sekrety w cache. Zaktualizuj i sprawdź klucze API", "item": "https://www.joomlaguru.pl/joomla/jreviews-wyciek-sekretow-cache-aktualizacja-bezpieczenstwa" } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://www.joomlaguru.pl/joomla/jreviews-wyciek-sekretow-cache-aktualizacja-bezpieczenstwa" }, "headline": "JReviews ujawniał sekrety w cache. Zaktualizuj i sprawdź klucze API", "description": "JReviews zapisywał poufne ustawienia w pliku cache dostępnym przez WWW. Chodzi m.in. o sekret Joomla i klucze API zapisane w konfiguracji dodatku. Poprawka jest w wydaniach 6.7.0 i 5.13.0 z 4 listopada 2026 r. W gałęzi 6 dostępne jest już 6.7.1 z dodatkowymi poprawkami działania.", "image": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp" }, "publisher": { "@type": "Organization", "name": "Joomla Guru", "logo": { "@type": "ImageObject", "url": "https://www.joomlaguru.pl/images/logo-joomla-guru.svg" } }, "author": { "@type": "Person", "name": "Marcin Równicki", "url": "https://joomlaguru.pl/marcin-rownicki" }, "datePublished": "2026-11-06T17:17:05+01:00", "dateCreated": "2026-11-06T17:15:19+01:00", "dateModified": "2026-11-06T17:17:05+01:00" } ```