--- title: "Phoca Gallery: zdjęcie może uruchomić skrypt. Pobierz poprawkę 6.1.6 - Joomla Guru" description: "Phoca Gallery 6.1.6 usuwa XSS przez EXIF zdjęcia. CVE-2026-102786 ma ocenę 8,6. Joomla 4 i 5 mogą nie otrzymać poprawki automatycznie." url: "https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6" date: "2026-10-24T09:58:29+00:00" language: "pl-PL" --- ![Phoca Gallery: zdjęcie może uruchomić skrypt. Pobierz poprawkę 6.1.6](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) # Phoca Gallery: zdjęcie może uruchomić skrypt. Pobierz poprawkę 6.1.6 [Autor: Marcin Równicki](https://www.joomlaguru.pl/marcin-rownicki) Publikacja: 23.10.2026 | 23:05 [Kategoria: Joomla](https://www.joomlaguru.pl/joomla) [FAQ](#faq) --- **Phoca Gallery 6.1.6 usuwa lukę, przez którą dane zapisane wewnątrz zdjęcia mogły uruchomić skrypt w przeglądarce osoby oglądającej informacje o fotografii.** Problem to [CVE-2026-102786](https://www.cve.org/CVERecord?id=CVE-2026-102786), oceniony na **CVSS 4.0: 8,6 (wysoki)**. Według rekordu podatne są wersje od 4.5.0 do 6.1.5 włącznie. Poprawkę wydano 19 października 2026 r., a CVE opublikowano 23 października. **Sprawdź numer galerii ręcznie, zwłaszcza na Joomla 4 i 5.** Ich kanały aktualizacji nadal wskazują starsze wydania komponentu mieszczące się w podatnym zakresie. Joomla Guru może wykonać [kopię, aktualizację Phoca Gallery i test strony](https://www.joomlaguru.pl/uslugi/opieka-serwisowa-joomla). Przy podejrzeniu wykorzystania luki pomagamy również w [analizie incydentu i usunięciu skutków włamania](https://www.joomlaguru.pl/uslugi/usuwanie-wirusow). ## Spis treści 1. [Jak zdjęcie staje się źródłem XSS?](https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6#jak-zdjecie-staje-sie-zrodlem-xss) 2. [Co zmienia 6.1.6?](https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6#co-zmienia-6-1-6) 3. [Dlaczego Joomla może nie pokazać poprawki?](https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6#dlaczego-joomla-moze-nie-pokazac-poprawki) 4. [Pobierz poprawkę i sprawdź zgodność](https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6#pobierz-poprawke-i-sprawdz-zgodnosc) 5. [Źródła](https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6#zrodla) ## Jak zdjęcie staje się źródłem XSS? Zdjęcie może zawierać metadane EXIF, np. informacje o aparacie i współrzędne GPS. Można je zmienić przed wysłaniem pliku. Nie są zaufanymi danymi tylko dlatego, że zwykle zapisuje je aparat. Luka dotyczy widoku informacji o fotografii, który przetwarza te wartości i umieszcza je w stronie. Przygotowana zawartość pozostaje w przesłanym materiale i może uruchomić skrypt, gdy ktoś otworzy odpowiedni widok. Skrypt działa w kontekście witryny. Szczególnie niebezpieczne jest otwarcie takiej informacji przez zalogowanego administratora. Przygotowane zdjęcie musi trafić do galerii, np. przez konto z uprawnieniami uploadu. Rekord CVE nazywa lukę uwierzytelnioną, lecz wektor CVSS zawiera `PR:N`. To niespójność opisu i punktacji. Nie traktujemy jej jako potwierdzenia, że na każdej stronie anonimowy gość może przesłać zdjęcie. ## Co zmienia 6.1.6? [Producent oznaczył 6.1.6 jako wydanie bezpieczeństwa](https://github.com/PhocaCz/PhocaGallery/releases/tag/6.1.6). [Porównanie kodu](https://github.com/PhocaCz/PhocaGallery/compare/6.1.5...6.1.6) pokazuje zmiany w widoku informacji: wartości danych GPS są rzutowane na liczby, a obliczenia zabezpieczono przed dzieleniem przez zero. Sprawdziliśmy też oficjalny ZIP: jego manifest podaje wersję 6.1.6. ## Dlaczego Joomla może nie pokazać poprawki? Na 23 października [manifest aktualizacji producenta](https://raw.githubusercontent.com/PhocaCz/PhocaGallery/master/manifest.xml) rozdziela wydania następująco: | CMS | Oferowana Phoca Gallery | Status | |---|---|---| | Joomla 6 | 6.1.6 | Wydanie z poprawką. | | Joomla 5 | 5.1.3 | W podatnym zakresie CVE. | | Joomla 4 | 4.5.5 | W podatnym zakresie CVE. | Jeśli na Joomla 4 lub 5 zainstalowano już komponent 6.x, aktualizator może widzieć tylko niższy numer ze swojej gałęzi i nie proponować żadnej zmiany. Komunikat „brak aktualizacji” nie dowodzi więc, że galeria jest zabezpieczona. ## Pobierz poprawkę i sprawdź zgodność [**Pobierz Phoca Gallery 6.1.6 ZIP →**](https://github.com/PhocaCz/PhocaGallery/releases/download/6.1.6/com_phocagallery_v6.1.6.zip) To bezpośredni link do oficjalnego komponentu. [Strona pobierania Phoca](https://www.phoca.cz/download/66-phoca-gallery/1-phoca-gallery-component) opisuje pakiet jako J6, ale zawiera też oznaczenie 5.x/6.x. Nie potwierdziliśmy instalacji na Joomla 4 ani 5, dlatego najpierw trzeba sprawdzić zgodność. 1. Wykonaj pełną kopię i zapisz wersję CMS oraz galerii. 2. Na Joomla 6 zaktualizuj komponent do 6.1.6. Jeśli monit się nie pojawia, pobierz pakiet ręcznie i potwierdź numer po instalacji. 3. Na Joomla 4 i 5 sprawdź poprawiony pakiet na kopii strony lub uzgodnij zgodność z producentem. Może być potrzebna aktualizacja CMS. Do tego czasu ogranicz dostęp do galerii i uploadu albo tymczasowo ją wyłącz. 4. Przetestuj zdjęcia i informacje EXIF. Przejrzyj konta z prawem uploadu i fotografie dodane przez nieznane osoby. Samo wyłączenie nowych uploadów nie rozwiązuje problemu zdjęć już zapisanych w galerii. Przy podejrzeniu złośliwych metadanych odizoluj pliki do analizy. Jeśli administrator otwierał podejrzany widok, sprawdź sesje i nieoczekiwane zmiany w witrynie. ## Źródła - [CVE-2026-102786](https://www.cve.org/CVERecord?id=CVE-2026-102786) - [Phoca: wydanie 6.1.6](https://github.com/PhocaCz/PhocaGallery/releases/tag/6.1.6) - [Phoca: porównanie kodu](https://github.com/PhocaCz/PhocaGallery/compare/6.1.5...6.1.6) - [Phoca: manifest aktualizacji](https://raw.githubusercontent.com/PhocaCz/PhocaGallery/master/manifest.xml) Aktualizacja: 23.10.2026 | 23:05 [ Zostaw opinie ](https://g.page/r/Cfa6o9akPR8PEBE/review) [ Preferuj to źródło w Google ](https://www.google.com/preferences/source?q=joomlaguru.pl) **Zostaw Opinie:** Jeśli uzałeś/aś że znalezione materiały na stronię są wartościowe lub miałeś styczność z naszymi usługami. To zachęcamy do pozostawienia opini o Joomla Guru. To nic nie kosztuje, a nam pomaga w rozwoju. **Preferuj źródło** w Google dzięki temu możesz wskazać iż joomlaguru.pl jest wartościowym źródłem wiedzy dla Ciebie. ### FAQ --- ### Czy atak wymaga przesłania zdjęcia? Przygotowany plik musi trafić do galerii, np. przez konto z uprawnieniami uploadu. Nie potwierdza to anonimowego uploadu na każdej stronie. ### Które wersje są podatne? Rekord CVE wymienia Phoca Gallery 4.5.0–6.1.5. Wydanie z poprawką to 6.1.6. ### Skąd pobrać 6.1.6? Z oficjalnego wydania Phoca na GitHub. Artykuł zawiera bezpośredni link do archiwum com\_phocagallery\_v6.1.6.zip. ### Czy wyłączenie uploadu wystarczy? Nie, jeśli przygotowane zdjęcie już zapisano w galerii. Ograniczenie nowych uploadów nie usuwa istniejącego materiału ani nie zastępuje poprawki. ### Dlaczego Joomla 5 nie proponuje 6.1.6? Manifest producenta kieruje Joomla 5 do 5.1.3, a Joomla 4 do 4.5.5. Obie wersje są w podatnym zakresie. Ręczna instalacja poprawki wymaga sprawdzenia zgodności. --- [![Marcin Równicki Najlepszy ekspert od Joomla i Yootheme PRO w Polsce! Właściciel Joomlaguru.pl](https://www.joomlaguru.pl/images/Marcin-Rownicki-PM-2025.webp)](https://www.joomlaguru.pl/marcin-rownicki) #### [ O Marcin Równicki ](https://www.joomlaguru.pl/marcin-rownicki) Z Joomla pracuję od czasów Mambo (2008), dzięki czemu znam ten system od jego początków aż po najnowsze wydania. Specjalizuję się w budowie i modernizacji stron, migracjach, bezpieczeństwie, usuwaniu skutków włamań oraz stałej opiece technicznej. Tworzę rozwiązania możliwie blisko core Joomla i pracuję z YOOtheme Pro, dbając o wygodne zarządzanie stroną, jej wydajność oraz bezpieczne aktualizacje. Joomla Guru wyrosło z wieloletniego bloga, którego celem było praktyczne wspieranie użytkowników i administratorów Joomla. [ Więcej o autorze ](https://www.joomlaguru.pl/marcin-rownicki "Więcej o autorze Marcin Równicki ekspert od Joomla i YooTheme PRO") ## Powiązane [ ![Wybór Joomla: porównanie funkcji strony, języków i uprawnień użytkowników](https://www.joomlaguru.pl/images/joomla_6/kiedy-wybrac-joomla-1200x630.webp) ### Kiedy wybrać Joomla? Zastosowania, ograniczenia i wybór CMS Więcej ](https://www.joomlaguru.pl/joomla/kiedy-wybrac-joomla) [ ![21 października o 16:00: krytyczne aktualizacje YOOtheme Pro 5 i PHP](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### 21 października o 16:00: krytyczne aktualizacje YOOtheme Pro 5 i PHP Więcej ](https://www.joomlaguru.pl/joomla/yootheme-pro-5-php-krytyczne-aktualizacje-21-pazdziernika) [ ![Budowa strony w CMS Joomla: artykuły, obrazy, menu i baza danych](https://www.joomlaguru.pl/images/joomla_6/co-to-jest-joomla-1200x630.webp) ### Co to jest Joomla? Czym jest CMS Joomla i jak działa strona Więcej ](https://www.joomlaguru.pl/joomla/co-to-jest-joomla) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Start", "item": "https://www.joomlaguru.pl" }, { "@type": "ListItem", "position": 2, "name": "Joomla", "item": "https://www.joomlaguru.pl/joomla" }, { "@type": "ListItem", "position": 3, "name": "Phoca Gallery: zdjęcie może uruchomić skrypt. Pobierz poprawkę 6.1.6", "item": "https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6" } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://www.joomlaguru.pl/joomla/phoca-gallery-exif-xss-poprawka-6-1-6" }, "headline": "Phoca Gallery: zdjęcie może uruchomić skrypt. Pobierz poprawkę 6.1.6", "description": "Phoca Gallery 6.1.6 usuwa lukę, przez którą dane zapisane wewnątrz zdjęcia mogły uruchomić skrypt w przeglądarce osoby oglądającej informacje o fotografii. Problem to CVE-2026-102786, oceniony na CVSS 4.0: 8,6 (wysoki). Według rekordu podatne są wersje od 4.5.0 do 6.1.5 włącznie. Poprawkę wydano 19 października 2026 r., a CVE opublikowano 23 października. Sprawdź numer galerii ręcznie, zwłaszcza na Joomla 4 i 5. Ich kanały aktualizacji nadal wskazują starsze wydania komponentu mieszczące się w podatnym zakresie. Joomla Guru może wykonać kopię, aktualizację Phoca Gallery i test strony. Przy podejrzeniu wykorzystania luki pomagamy również w analizie incydentu i usunięciu skutków włamania.", "image": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp" }, "publisher": { "@type": "Organization", "name": "Joomla Guru", "logo": { "@type": "ImageObject", "url": "https://www.joomlaguru.pl/images/logo-joomla-guru.svg" } }, "author": { "@type": "Person", "name": "Marcin Równicki", "url": "https://joomlaguru.pl/marcin-rownicki" }, "datePublished": "2026-10-23T23:05:16+02:00", "dateCreated": "2026-10-23T23:03:43+02:00", "dateModified": "2026-10-23T23:05:16+02:00" } ```