Weeblr poinformował 15 lipca 2026 roku o dwóch krytycznych podatnościach w 4Analytics, czyli rozszerzeniu analitycznym dla Joomla. Producent zaleca natychmiastową aktualizację do wersji 4Analytics 5.0.2.
To ważny komunikat dla administratorów stron Joomla, ponieważ problem dotyczy wszystkich wcześniejszych wersji 4Analytics. Według Weeblr atakujący nie musi być zalogowany, a w określonych warunkach podatności mogą prowadzić nawet do przejęcia całej strony.
Aktualizacja z 8 września 2026 roku: w ZOO firmy YOOtheme ujawniono kolejne podatności. Pierwsze wydanie naprawcze 4.1.64 usuwało anonimowy upload prowadzący do RCE, SQL Injection oraz zewnętrzne przekierowanie. Wersja 4.1.65 poprawiała kontrolę uprawnień, ale pełny zestaw późniejszych zabezpieczeń pojawił się dopiero w 4.1.66.
Obecnie dostępne jest ZOO 4.1.68 i to wydanie zalecamy. Bezpieczne minimum dla całej opisanej serii to 4.1.66. Strona pozostająca na 4.1.64 albo 4.1.65 nie ma wszystkich poprawek opublikowanych przez producenta.
Pobierz aktualny pakiet ZOO → Plik jest dostępny po zalogowaniu do konta YOOtheme. Aktualizator Joomla wymaga prawidłowego klucza pobierania, a powiadomienie może pojawić się z opóźnieniem. Numer wydania sprawdź ręcznie w changelogu ZOO.
Po instalacji poprawki skontroluj katalog images/zoo/uploads/. Aktualizacja zamyka podatność, lecz nie usuwa plików przesłanych wcześniej przez atakującego.
Joomla Guru może wykonać kopię, aktualizację ZOO i test formularzy. Jeżeli pojawiły się podejrzane pliki albo nieznane konta administratorów, potrzebna jest analiza instalacji i ewentualne usunięcie skutków włamania.
Aimy Captcha-Less Form Guard dla Joomla ma krytyczną podatność PHP Object Injection oznaczoną jako CVE-2026-65883. Atak może zostać przeprowadzony zdalnie bez logowania i prowadzić do wykonania kodu na serwerze. Luka otrzymała maksymalną ocenę 10,0 w CVSS 4.0.
Podatne są wersje od 18.0 do 20.0. Poprawka została wydana w Aimy Captcha-Less Form Guard 20.1. Producent zaleca natychmiastową aktualizację.
Joomla Guru może wykonać kopię, aktualizację wtyczki i test chronionych formularzy. Jeżeli strona działała publicznie na podatnej wersji, możemy również sprawdzić ją pod kątem backdoorów i przeprowadzić usuwanie skutków włamania.
Aktualizacja: po komunikacie Balbooa opublikowano rekord CVE-2026-67364 opisujący krytyczne RCE w Balbooa Forms. Pierwotna informacja producenta mówiła jedynie o wzmacnianiu zabezpieczeń. Nowy rekord potwierdza jednak, że w określonej konfiguracji wersje Forms do 2.4.3.1 pozwalają niezalogowanemu napastnikowi wykonać kod PHP.
Luka otrzymała ocenę 10,0 w CVSS 4.0. Poprawka znajduje się w Balbooa Forms 2.4.3.2. Dla Gallery nadal zalecana jest wersja 2.5.1.1, w której producent wzmocnił kontrolę dostępu i operacje na plikach. Nie ma podstaw, by przypisywać Gallery ten sam numer CVE.
Nie należy polegać wyłącznie na automatycznym powiadomieniu Joomla. Po wydaniu poprawki serwer aktualizacji lub pamięć podręczna mogą przez pewien czas nie pokazywać najnowszej wersji. W takim przypadku trzeba pobrać pakiet ręcznie ze strony Balbooa.
Balbooa Forms 2.4.3.4 usuwa pięć podatności dotyczących obsługi formularzy i załączników. Najpoważniejsza z nich może pozwolić niezalogowanemu użytkownikowi na wykonanie kodu PHP, jeśli formularz korzysta z określonej akcji PHP po wysłaniu. Poprawiono także możliwość ujawnienia plików serwera przez załączniki w automatycznej odpowiedzi, XSS w panelu administratora oraz błędy kontroli dostępu do przesłanych plików.
Publiczne rekordy CVE wskazują, że podatne są wersje od 1.0.0 do 2.4.3.3. Producent wydał poprawkę 29 września 2026 r. i zaleca jej instalację wszystkim użytkownikom Balbooa Forms. To nowa aktualizacja względem opisywanej wcześniej wersji 2.4.3.2 oraz hardeningu Gallery. Samo zainstalowanie 2.4.3.2 nie rozwiązuje problemów ujawnionych teraz.
Joomla Guru może wykonać kopię, aktualizację Forms i test formularzy. Jeśli witryna działała na podatnej wersji i widać nieznane pliki, konta lub nietypowe wysyłki wiadomości, możemy przeanalizować incydent i usunąć skutki włamania.
Aktualizacja z 8 września 2026 roku: Sourcerer 14.0.0, 14.0.1 oraz 15.0.0 nie usunęły krytycznej podatności CVE-2026-74253. Oficjalny zakres został rozszerzony na wszystkie wydania od 1.0.0 do 15.0.0. Joomla Security Strike Team potwierdził również, że luka jest wykorzystywana w rzeczywistych atakach od około 19 sierpnia.
Poprawka, która zamyka drogę do wykonania kodu PHP z niezaufanych danych żądania, znalazła się dopiero w Sourcerer 16.0.0. Producent wydał następnie 16.0.1 z dodatkowym zabezpieczeniem listy niedozwolonych funkcji. Dlatego obecnie zalecamy instalację Sourcerer 16.0.1, a nie pozostawanie na 14.x lub 15.0.0.
Pobierz Sourcerer 16.0.1 Free →
Powiadomienie o aktualizacji w Joomla może pojawić się z opóźnieniem. W wersji Pro aktualizator wymaga poprawnego Download Key. Jeżeli panel nie proponuje wersji 16.0.1, sprawdź aktualizacje ponownie, wyczyść pamięć witryn aktualizacji albo pobierz pakiet ręcznie z konta Regular Labs.
Joomla Guru może wykonać kopię, aktualizację Sourcerer i test osadzonego kodu. Ponieważ luka była używana przed opublikowaniem skutecznej poprawki, sama instalacja nowej wersji nie kończy kontroli. Przy podejrzeniu włamania wykonujemy analizę plików, użytkowników i logów oraz czyszczenie strony Joomla.
JooDatabase Lite dla Joomla ma krytyczną podatność SQL Injection dostępną bez logowania. Luka otrzymała numer CVE-2026-78080 i ocenę 9,3 w CVSS 4.0. Podatne są wersje od 1.0 do 5.0.0.
Problem dotyczy parametru cid, który mógł trafić do zapytania bazy danych bez odpowiedniej walidacji. Atakujący nie potrzebuje konta ani działania administratora. Poprawka została wydana 3 września 2026 roku jako JooDatabase 5.1.
Pobierz JooDatabase 5.1 bezpośrednio →
Producent udostępnia pakiet dla Joomla 4, 5 i 6. Powiadomienie w Joomla może pojawić się z opóźnieniem, a Joomla Extensions Directory nadal może pokazywać starszy numer. Sprawdź wersję ręcznie i w razie potrzeby zainstaluj oficjalny pakiet przez instalator rozszerzeń.
Joomla Guru może wykonać kopię, aktualizację JooDatabase i test widoków. Jeżeli podatna wersja była publicznie dostępna, możemy sprawdzić logi, konta i bazę. Potwierdzone ślady ataku wymagają analizy oraz usunięcia skutków włamania.
SP Property Finder 4.1.3 i starsze wersje mają podatność SQL Injection dostępną bez logowania. Atakujący może wykorzystać publiczną wyszukiwarkę nieruchomości lub widok mapy, aby odczytywać dane z bazy Joomla. Dotyczy to między innymi kont użytkowników, skrótów haseł, aktywnych sesji oraz sekretu witryny.
Problem otrzymał numer CVE-2026-78082 i oficjalną ocenę 9,3 Critical w CVSS 4.0. Producent usunął lukę w SP Property Finder 4.1.4, wydanym 10 września 2026 roku.
Pobierz SP Property Finder 4.1.4 z oficjalnej strony →
SP Property Finder jest rozszerzeniem komercyjnym, dlatego pobranie pakietu może wymagać zalogowania do konta JoomShaper z aktywną subskrypcją. Nie czekaj wyłącznie na komunikat w panelu Joomla. W dniu publikacji poprawki część stron producenta nadal pokazywała wersję 4.1.3, a osobny komunikat bezpieczeństwa nie został opublikowany.
Jeśli potrzebujesz pomocy z aktualizacją lub kontrolą kilku witryn, sprawdź opiekę serwisową Joomla. Jeżeli podejrzewasz, że dane mogły zostać odczytane albo na stronie pojawiły się obce konta i pliki, skorzystaj z usługi usuwania wirusów i skutków włamania.
Lipiec 2026 był jednym z najbardziej intensywnych miesięcy dla bezpieczeństwa Joomla od lat. Sam rdzeń CMS otrzymał 12 poprawek bezpieczeństwa, a w popularnych rozszerzeniach ujawniono dziesiątki kolejnych problemów. Część z nich pozwalała bez logowania przesłać plik PHP, odczytać bazę danych albo przejąć konto Super User. Co najmniej pięć luk w dodatkach Joomla trafiło do katalogu CISA Known Exploited Vulnerabilities, czyli listy podatności, których wykorzystanie potwierdzono w rzeczywistych atakach.
Z udokumentowanych i policzonych ujawnień wynika, że lipcowa fala objęła co najmniej 63 odrębne problemy: 12 w rdzeniu Joomla oraz co najmniej 51 w rozszerzeniach. To liczba ostrożna. Nie doliczam do niej pakietu poprawek Regular Labs, ponieważ producent opisał klasy błędów w około 30 rozszerzeniach, ale nie podał jednej porównywalnej liczby podatności.
Jeżeli nie wiesz, które wersje działają na Twojej stronie, Joomla Guru może przeprowadzić inwentaryzację, kopię zapasową i aktualizacje w ramach opieki serwisowej Joomla. Gdy strona działała na podatnym dodatku i pojawiły się nieznane konta, pliki PHP, przekierowania albo zmiany w bazie, potrzebna jest analiza incydentu i usuwanie wirusów z Joomla, a nie tylko instalacja aktualizacji.
Regular Labs opublikowało pakiet aktualizacji bezpieczeństwa dla około 30 rozszerzeń Joomla. Poprawki obejmują między innymi ochronę przed SSRF, XSS, wstrzykiwaniem poleceń systemowych, przechodzeniem po ścieżkach katalogów oraz dostępem do danych i funkcji bez wymaganych uprawnień.
Administratorzy korzystający z rozszerzeń Regular Labs powinni sprawdzić ich wersje, wykonać kopię zapasową i zainstalować aktualne wydania. Aktualizacja całego zestawu jest rozsądniejsza niż ograniczenie się do jednego dodatku, ponieważ część zabezpieczeń została wprowadzona we wspólnej bibliotece producenta.
Joomla Guru oferuje opiekę techniczną Joomla, obejmującą kopie zapasowe, aktualizacje rozszerzeń, testy zgodności i kontrolę działania strony. Gdy pojawiły się podejrzane pliki, przekierowania lub nieznane konta administratorów, pomoc obejmuje również usuwanie wirusów z Joomla.
Złośliwe oprogramowanie, szkodliwe oprogramowanie, które infekuje stronę poprzez błędy w oprogramowaniu. Najczęściej objawia się doklejaniem złośliwych linków lub przekierowywaniem użytkownika na inne złośliwe strony celem wyłudzenia informacji. Tego typu złośliwe skrypty potrafią również wykorzystywać nasz serwer do celu wysłania niechcianej poczty. Hostingodawcy często blokują takie strony, aby ograniczyć cały proceder. Jak najszybciej trzeba taką stronę przeanalizować i pozbyć się złośliwego oprogramowania.
To wszelkie instrukcje / komendy używane do komunikacji między przeglądarką internetową a serwerem.
Lista nagłówków:
Standardowe:
- Accept
- Accept-Charset
- Accept-Encoding
- Accept-Language
- Accept-Ranges
- Allow
- Authorization
- Cache-Control
- Connection
- Content-Encoding
- Content-Language
- Content-Length
- Content-Location
- Content-Range
- Content-Type
- Date
- Expires
- Host
- If-Match
- If-Modified-Since
- Last-Modified
- Location
- Pragma
- Proxy-Authenticate
- Proxy-Authorization
- Range
- Referer
- Retry-After
- Server
- Transfer-Encoding
- User-Agent
- WWW-Authenticate
Niestandardowe:
- Cookie
- Set-Cookie
- Refresh
- X-Frame-Options
- Strict-Transport-Security
- X-XSS-Protection
- X-Content-Type-Options
- Referrer-Policy
- Expect-CT
- Feature-Policy
- Permissions-Policy
źródło:
https://pl.wikipedia.org/wiki/ListanagłówkówHTTP
Joomla 3.9.10. Jest to wydanie poprawiające błąd, który ujawnił się podczas wersji 3.9.9. Przez co chwilowo aktualizacja znikła z serwerów. Problem dotyczył stron wielojęzycznych i przypisanych języków do stylu szablonów. Opis zmian znajdziecie we wpisie.
Joomla 3.9.11. Jest to wydanie poprawiające jeden błąd bezpieczeństwa oraz naprawia dwadzieścia pięć błędów w działaniu ogólnym. Opis zmian znajdziecie we wpisie.
Joomla 3.9.12. Jest to wydanie poprawiające jeden błąd bezpieczeństwa oraz naprawia trzydzieści błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.13. Jest to wydanie poprawiające dwa błędy bezpieczeństwa oraz naprawia piętnaście błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.14. Jest to wydanie poprawiające dwa błędy bezpieczeństwa oraz naprawia trzydzieści pięć błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.15. Jest to wydanie poprawiające trzy błędy bezpieczeństwa oraz naprawia dwadzieścia błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.16. Jest to wydanie poprawiające sześć błędów bezpieczeństwa oraz naprawia dwadzieścia błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.17. Jest to wydanie poprawiające trzy błędy bezpieczeństwa oraz naprawia czterdzieści błędów w działaniu ogólnym. Opis zmian znajdziesz we wpisie.
Joomla 3.9.18. Jest to wydanie poprawiające poprzednie wydanie, które powodowało błąd 404 przy tagach. Opis zmian znajdziesz po niżej.
Joomla 3.9.23 jest już dostępna do pobrania. To wydanie zawiera 7 poprawek bezpieczeństwa i 35 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Dlaczego aktualizacje są ważne dowiesz się z #32 odcinka JOOMLA TO PROSTE.
Joomla 3.9.24 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 3 luku w zabezpieczeniach i zawiera 35 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.25 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 9 luku w zabezpieczeniach i zawiera 40 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.26 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 2 luki w zabezpieczeniach i zawiera 30 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.27 jest już dostępna do pobrania. To wydanie bezpieczeństwa, które usuwa 3 luku w zabezpieczeniach i zawiera 15 poprawek w działaniu ogólnym. Przed aktualizacją wykonaj kopię zapasową strony. Jeśli nie wiesz jak dołącz do darmowego kursu JOOMLA TO PROSTE w szkole JOOMLA GURU.
Joomla 3.9.5. Jest to wydanie poprawiające trzy błędy w zakresie bezpieczeństwa. Wdrożono dwadzieścia poprawek poprawiających ogólne działanie CMS Joomla oraz poprawiające błędy. Opis zmian znajdziecie we wpisie.
Joomla 3.9.6. Jest to wydanie poprawiające jeden błąd w zakresie bezpieczeństwa. Wdrożono dwadzieścia pięć poprawek poprawiających ogólne działanie CMS Joomla oraz poprawiające błędy. Opis zmian znajdziecie we wpisie.
Joomla 3.9.7. Jest to wydanie poprawiające bezpieczeństwo, które rozwiązuje trzy luki w zabezpieczeniach i zawiera ponad 40 poprawek oraz ulepszeń. Opis zmian znajdziecie we wpisie.
Joomla 3.9.8. Jest to wydanie poprawiające błąd z poprzedniej aktualizacji, która usuwa nieoficjalny serwer pomocy. Opis zmian znajdziecie we wpisie.
Joomla 3.9.9. Jest to wydanie poprawiające bezpieczeństwo oraz usprawniające działanie. Opis zmian znajdziecie we wpisie.
Gridbox dla Joomla otrzymał kolejną pilną poprawkę bezpieczeństwa. Wersja 2.20.3.1 usuwa podatność typu blind SQL injection w parametrze autora bloga, dostępną od strony publicznej bez logowania. Atak może służyć do stopniowego odczytu danych z bazy, w tym informacji o użytkownikach i aktywnych sesjach.
Aktualizację należy wykonać także na stronach z Gridbox 2.20.3 oraz 2.20.2.3. Producent nie opublikował pełnego zakresu podatnych wersji, dlatego każdą instalację starszą niż 2.20.3.1 trzeba traktować jako wymagającą aktualizacji. Na 21 września 2026 roku nowa luka nie ma jeszcze osobnego numeru CVE ani oficjalnej oceny CVSS.
Joomla Guru realizuje aktualizacje i opiekę serwisową Joomla. Jeżeli strona działała również na Gridbox starszym niż 2.20.2, zalecana jest dodatkowa kontrola bezpieczeństwa, a przy śladach kompromitacji pełne usuwanie wirusów z Joomla.
Joomill wydał 8 października 2026 r. Opening Hours 6.3.0 z poprawką bezpieczeństwa. Problem dotyczył pola Custom CSS. Odpowiednio przygotowana wartość mogła zamknąć blok <style> i uruchomić JavaScript na stronie odwiedzanej przez użytkowników. Producent udostępnił poprawione wydania modułu Free i PRO.
To luka typu XSS wymagająca możliwości zmiany ustawień modułu. Według changelogu Joomill nie musi to być konto Super User. Nie ma podstaw, by opisywać ten problem jako atak dostępny dla anonimowego gościa. Jeśli ktoś z dostępem do opcji modułu może zapisać Custom CSS, warto zaktualizować rozszerzenie i sprawdzić, komu przyznano takie uprawnienia.
Jeśli potrzebujesz pomocy z aktualizacją, Joomla Guru oferuje opiekę serwisową Joomla. Przy podejrzeniu, że w ustawieniach lub na stronie znalazł się obcy kod, przydatna będzie także analiza bezpieczeństwa i usuwanie skutków włamania.
Dwa rozszerzenia OrdaSoft mają podatności dostępne bez logowania. W Simple Membership błąd w sprawdzaniu loginu pozwala wstrzyknąć zapytanie SQL. Touch Slider pozwala niezalogowanej osobie usuwać obrazy slajdera albo podmienić jego zawartość. Rekordy CVE-2026-102782 i CVE-2026-102781 opublikowano 7 października 2026 r.
SQL injection w komponencie członkowskim oceniono na 9,3 (krytyczny) w CVSS 4.0. Touch Slider otrzymał 6,9. W przypadku Simple Membership rekord CVE jest niespójny: tytuł wskazuje, że poprawkę stanowi 7.4.0, lecz pole z zakresem wersji oznacza również 7.4.0 jako podatną. Nie traktuj więc samego numeru 7.4.0 jako potwierdzenia usunięcia luki. Sprawdź pakiet i status poprawki u OrdaSoft.
Joomla Guru może pomóc w sprawdzeniu wersji, wykonaniu kopii i aktualizacji. Przy podejrzeniu naruszenia danych lub obcych zmian w slajderze potrzebna jest analiza skutków włamania.
W OrdaSoft OS CCK wykryto krytyczny błąd przesyłania plików. Osoba bez konta mogła zapisać plik wykonywany jako PHP w katalogu witryny. CVE-2026-102427 ma ocenę 10,0 w skali CVSS 4.0. Poprawka jest w pakiecie 8.3.16 Light.
W tym samym pakiecie zmieniono obsługę sortowania publicznych list, która dopuszczała SQL Injection. Ten drugi błąd otrzymał CVE-2026-102428 z oceną 9,3 w skali CVSS 4.0. Aktualizacja informacji: 7 października 2026 r. Najpilniejsza jest jednak instalacja nowego wydania: na 1 października 2026 r. kanał aktualizacji OrdaSoft nadal wskazuje 8.3.14 Light, choć pobierany pakiet ma już numer 8.3.16. Joomla może więc nie pokazać poprawki.
Pobierz OS CCK 8.3.16 Light bezpośrednio od OrdaSoft → Po instalacji potwierdź numer w menedżerze rozszerzeń. Joomla Guru może pomóc w aktualizacji i testach, a przy podejrzeniu przejęcia witryny przeprowadzić analizę i usunięcie skutków włamania.
Jak działa luka w przesyłaniu plików?
Publiczna ścieżka przesyłania obrazów sprawdzała zawartość pliku, lecz nie ograniczała rozszerzenia zapisywanej nazwy. Przy odpowiednio przygotowanym pliku można było przejść kontrolę typu obrazu i zachować rozszerzenie .php. Plik trafiał pod katalog strony, gdzie serwer mógł go wykonać.
Rekord CVE wskazuje zakres od 1.0.0 do 8.3.15. W pobranym pakiecie Light manifest komponentu oraz manifest pakietu podają 8.3.16. Płatna edycja Pro ma własną numerację i nie ma publicznego potwierdzenia, który jej pakiet zawiera tę poprawkę. Użytkownicy Pro powinni pilnie zweryfikować to z OrdaSoft.
Drugi problem: sortowanie list
Wcześniejszy kod budował klauzulę ORDER BY z parametru sortowania pochodzącego z żądania. W 8.3.16 pole jest sprawdzane względem dozwolonych kolumn. Ten błąd jest opisany jako CVE-2026-102428 (9,3 w CVSS 4.0). Osobny CVE-2026-102427 dotyczy przesyłania i uruchamiania pliku.
Dlaczego trzeba pobrać pakiet ręcznie?
Oficjalny pakiet 8.3.16 Light nadal wskazuje adres kanału aktualizacji OS CCK. Odczytany 1 października plik XML podaje tam 8.3.14 Light. Joomla porównuje numer z kanału z zainstalowanym wydaniem. Instalacja 8.3.14 albo 8.3.15 może z tego powodu wyglądać na aktualną.
- Wykonaj pełną kopię plików i bazy danych.
- Pobierz pakiet Light z oficjalnego odnośnika i zainstaluj go na istniejącej instalacji. Nie usuwaj wcześniej komponentu.
- Potwierdź numer 8.3.16 oraz działanie formularzy, obrazów i list treści.
- Przejrzyj katalogi
images/com_os_cck* pod kątem obcych plików PHP oraz sprawdź konta administratorów i logi.
Jeżeli znajdziesz podejrzany plik, sama aktualizacja nie usuwa skutków wcześniejszego wykonania kodu. Potrzebna jest analiza całej witryny, w tym plików, bazy i danych dostępowych. Zakres takiej kontroli opisuje usługa usuwania wirusów z Joomla.
Źródła
W OS Gallery dla Joomla ujawniono cztery poważne podatności. Najgroźniejsza z nich pozwala zaatakować bazę danych bez logowania, a dwie kolejne mogą prowadzić do wykonania kodu na serwerze przez konto z prawem zarządzania galerią. Podatne są wersje od 1.0.0 do 6.2.6, zarówno bezpłatna, jak i płatna edycja rozszerzenia. Poprawka znajduje się w OS Gallery 6.2.7.
Nie warto czekać wyłącznie na komunikat w panelu Joomla. Powiadomienie o aktualizacji może pojawić się z opóźnieniem albo nie zadziałać poprawnie. Wersję rozszerzenia należy sprawdzić ręcznie, pobrać aktualny pakiet od producenta i po instalacji potwierdzić numer 6.2.7.
Jeżeli potrzebujesz wsparcia, Joomla Guru realizuje aktualizacje i opiekę serwisową Joomla. Gdy strona działała na podatnej wersji i pojawiły się podejrzane pliki, konta lub wpisy w logach, potrzebna może być pełna analiza oraz usuwanie wirusów z Joomla.
- Synonim:
HTTP PERMISSIONS-POLICY
Permissions-Policy to nagłówek HTTP pozwalający określać, które źródła mogą korzystać z wybranych funkcji przeglądarki, np. kamery, mikrofonu lub geolokalizacji. Jest następcą dawnego Feature-Policy i używa innej składni.
Polityka może ograniczać stronę główną dokumentu oraz osadzone ramki. Dostępność poszczególnych dyrektyw zależy od przeglądarki. Zezwolenie w polityce nie zastępuje zgody użytkownika, gdy dana funkcja jej wymaga.
Zastosowanie w Joomla
Nagłówek można ustawiać na warstwie serwera, proxy albo za pomocą odpowiedniego mechanizmu witryny. Najpierw trzeba ustalić, z jakich funkcji korzystają formularze, mapy, wideorozmowy i inne osadzone elementy.
Nie należy kopiować konfiguracji blokującej wszystko bez testów. Po zmianie sprawdź działanie potrzebnych integracji i rzeczywisty nagłówek odpowiedzi. Permissions-Policy nie zastępuje ACL, polityki cookies ani zabezpieczeń przed XSS.
Zobacz także: ACL, X-XSS-Protection.
Źródło: dokumentacja MDN. Sprawdzono: 12 września 2026 r.
Phoca Cart 6.1.9 naprawia błąd kontroli dostępu w widoku zamówienia. W starszym kodzie przy pobieraniu pliku sprawdzano, czy podano tokeny pobrania i zamówienia, ale w pewnym scenariuszu nie porównywano ich poprawnie z wartościami zapisanymi przy zakupie. Jeśli sklep sprzedaje produkty cyfrowe, luka mogła umożliwić pobranie pliku z cudzego zamówienia bez zalogowania.
Producent opublikował wydanie bezpieczeństwa 1 października 2026 r. Dotyczy ono innego problemu niż wcześniejsza luka SQL injection w Phoca Cart. Sklep z wersją 6.1.8, nawet jeśli instalował sierpniowe poprawki, powinien przejść na 6.1.9.
Joomla Guru może wykonać kopię, aktualizację Phoca Cart i test zakupów oraz pobierania plików. Przy podejrzeniu nieuprawnionych pobrań potrzebna jest kontrola logów i zamówień. Jeśli pojawiły się również oznaki włamania do witryny, zakres prac może objąć analizę i usuwanie jego skutków.
Jeżeli Twoja strona Joomla korzysta z edytora JCE, potraktuj ten temat jako pilny. W czerwcu 2026 roku opisano aktywnie wykorzystywany atak na JCE, w którym napastnik może dodać fałszywy profil edytora, dopuścić upload plików PHP i zostawić na serwerze webshell. Problem jest szczególnie groźny, bo kluczowa luka CVE-2026-48907 dotyczyła nieautoryzowanego importu profilu edytora, czyli scenariusza bez logowania do panelu.
Najważniejsza rekomendacja jest prosta: sprawdź wersję JCE na wszystkich stronach Joomla i zaktualizuj JCE do wersji 2.9.99.6 lub nowszej. Sama aktualizacja zamyka wejście, ale nie usuwa plików, które mogły zostać wcześniej wgrane. Jeśli strona była już zaatakowana, potrzebne jest czyszczenie, analiza plików, kontrola logów, zmiana haseł i dodatkowy audyt.
Joomla Guru zajmuje się zarówno czyszczeniem zainfekowanych stron Joomla, jak i opieką techniczną, która ma zapobiegać takim wypadkom: aktualizacjami, kopiami zapasowymi, monitoringiem, kontrolą rozszerzeń i reakcją na alerty bezpieczeństwa.
- Synonim:
prywatność przez projekt, PbD
Podejście do rozwoju systemów i aplikacji, które uwzględnia ochronę prywatności od samego początku procesu projektowania. Privacy by Design jest wymaganiem RODO i obejmuje minimalizację danych, domyślne ustawienia prywatności oraz transparentność przetwarzania.
- Synonim:
zgodność RODO Joomla, RODO Joomla
Joomla udostępnia narzędzia prywatności wspierające obsługę wniosków dotyczących danych osobowych. Mechanizm może korzystać z dodatków, które dostarczają informacje o danych przechowywanych przez obsługiwane części witryny.
Zakres zależy od integracji. Dane formularzy, sklepu, newslettera lub systemu zewnętrznego nie muszą być automatycznie uwzględnione. Trzeba sprawdzić dokumentację każdego używanego rozszerzenia i faktyczny wynik operacji.
Przygotuj wykaz miejsc przechowywania danych, procedurę weryfikacji wniosku oraz osoby odpowiedzialne za jego obsługę. Przetestuj eksport i usuwanie na danych testowych, uwzględniając powiązania kont.
Przycisk usunięcia danych nie rozstrzyga, czy w danej sytuacji należy je usunąć. Włączenie komponentu prywatności lub banera cookies nie jest certyfikatem zgodności witryny z RODO. Ocenia się cały sposób przetwarzania, a nie obecność pojedynczego dodatku.
Zobacz także: GDPR / RODO.
Źródło: dokumentacja Joomla. Sprawdzono: 12 września 2026 r.
ThemeXpert wydał Quix 6.3.4 z trzema grupami poprawek bezpieczeństwa. Gość nie powinien już móc zmieniać ustawień Quix ani odczytywać stron z ograniczonym dostępem. Poprawiono również ścieżkę wykonania kodu przez edytora oraz uruchamianie skryptów pochodzących z treści artykułów Joomla.
To opis producenta z 30 września 2026 roku. Changelog nie podaje numerów CVE, oceny CVSS ani dokładnego zakresu podatnych wydań. Jeżeli na stronie działa Quix poniżej 6.3.4, zaplanuj aktualizację bez czekania na identyfikatory CVE.
Pobierz Quix Free 6.3.4 → Użytkownicy Pro powinni pobrać pakiet ze swojego konta ThemeXpert. Joomla Guru może wykonać kopię, aktualizację i test stron Quix oraz pomóc w analizie podejrzanych zmian.
- Synonim:
bezpieczne nagłówki HTTP, security headers
Zestaw nagłówków HTTP zwiększających bezpieczeństwo witryn poprzez instruowanie przeglądarek co do właściwego przetwarzania treści. Obejmują Content Security Policy, X-Frame-Options, X-XSS-Protection i inne, chroniąc przed atakami typu XSS, clickjacking i man-in-the-middle.
EasyStore dla Joomla otrzymał pilną aktualizację bezpieczeństwa. Wersja 3.0.1 usuwa siedem podatności, w tym wyciek danych osobowych klientów bez logowania, dwa błędy SQL injection, obejście uprawnień oraz brak ochrony CSRF w kilku operacjach sklepu. Publiczne rekordy CVE wskazują jako podatne wszystkie wydania od 1.0.0 do 3.0.0.
Najbardziej bezpośredni problem dotyczy zakupów gościnnych. Osoba bez konta mogła odpytać sklep o dane adresowe klienta, znając jego adres e-mail. Pozostałe błędy wymagają sesji klienta albo dostępu administracyjnego, lecz mogą prowadzić do odczytu bazy, zmiany ustawień i wykonywania operacji w imieniu zalogowanej osoby.
Jeśli aktualizacja sklepu wymaga przygotowania kopii i testów, Joomla Guru oferuje opiekę serwisową Joomla. Przy podejrzeniu wykorzystania luki, nieznanych kontach lub zmianach w plikach potrzebna może być analiza oraz usuwanie wirusów z Joomla.
SP Page Builder 6.9.0 i starsze wersje mają sześć nowych podatności. Najpoważniejsza pozwala użytkownikowi mogącemu zapisywać artykuły odczytać bazę Joomla przez ślepy SQL Injection. Dwie kolejne umożliwiają anonimowe ominięcie CAPTCHA w formularzach edycji Pro.
JoomShaper usunął problemy w SP Page Builder 6.9.1, wydanym 14 września 2026 roku. Aktualizacja dotyczy wersji Pro i bezpłatnej Lite. CAPTCHA bypass występuje tylko w Pro, lecz pozostałe luki obejmują obie edycje.
Pobierz SP Page Builder 6.9.1 Lite →
Pobierz SP Page Builder 6.9.1 Pro →
Wersja Pro wymaga zalogowania do konta JoomShaper oraz płatnej licencji. Jeśli Joomla nie wyświetla aktualizacji, sprawdź klucz pobierania i pobierz pakiet ręcznie. Przy tak świeżym wydaniu powiadomienie może pojawić się z opóźnieniem.
Aktualizację i kontrolę kilku witryn możemy wykonać w ramach opieki serwisowej Joomla. Jeżeli strona działała na podatnej wersji z kontami autorów lub redaktorów, trzeba sprawdzić sesje, użytkowników, pliki i bazę. W przypadku oznak włamania dostępna jest usługa usuwania wirusów i skutków ataku.
- Synonim:
SRI, integralność zasobów podrzędnych
Mechanizm bezpieczeństwa pozwalający przeglądarkom weryfikować, że zasoby pobrane z zewnętrznych źródeł (jak CDN) nie zostały zmodyfikowane. SRI używa hash cryptographic do zapewnienia, że pliki JavaScript i CSS są autentyczne i nietknięte.
Formularz kontaktowy T4 Page Builder pozwalał anonimowej osobie wysyłać dowolne wiadomości z serwera i domeny właściciela strony. Atakujący wybierał odbiorcę, temat i treść HTML. Nie potrzebował konta ani tokenu formularza, a podatny endpoint nie ograniczał liczby żądań.
Problem opisuje CVE-2026-78374 z oceną 6,9 w CVSS 4.0. Podatne są wersje od 1.0.0 do 2.2.0. Poprawka znajduje się w T4 Page Builder 2.3.0.
Joomla Guru może wykonać kopię, ręczną aktualizację T4 Page Builder i test formularzy. Jeśli serwer wysyłał spam albo domena trafiła na czarne listy, możemy sprawdzić stronę, konta i pliki oraz przeprowadzić usuwanie skutków włamania.
TF Content w wersjach 2.9.0–2.9.4 ma dwie podatności dostępne bez logowania. Jedna pozwala wywołać opublikowane zadanie automatyczne przed zaplanowanym czasem. Druga umożliwia zmianę cudzego rekordu, w tym jego statusu publikacji i poziomu dostępu. Opisują je CVE-2026-102779 oraz CVE-2026-102780.
Według katalogu rozszerzeń Joomla dostępna jest już wersja 2.9.5, opublikowana 2 października 2026 r. Sprawdź numer zainstalowanego komponentu i pobierz aktualny pakiet od producenta. Przed wdrożeniem zrób kopię strony, zwłaszcza jeśli TF Content obsługuje formularze lub dane klientów.
Joomla Guru może pomóc w aktualizacji i kontroli działania formularzy. Przy podejrzeniu nieuprawnionych zmian potrzebna jest analiza rekordów i logów; zajmujemy się też usuwaniem skutków włamania.
W trzech rozszerzeniach OrdaSoft dla Joomla wykryto krytyczne podatności SQL Injection dostępne bez logowania. Problemy dotyczą Real Estate Manager, Vehicle Manager i Book Library. Każdy z tych komponentów ma również osobną lukę typu reflected XSS.
Najpoważniejsze błędy otrzymały ocenę 9,3 w skali CVSS 4.0. Atakujący nie potrzebuje konta ani uprawnień w Joomla. Wystarczy, że podatny widok rozszerzenia jest dostępny z internetu.
Jeżeli używasz któregoś z tych komponentów, nie czekaj wyłącznie na komunikat w panelu Joomla. Powiadomienie o aktualizacji może pojawić się z opóźnieniem albo nie zostać wyświetlone od razu. Sprawdź wersję ręcznie i pobierz aktualny pakiet bezpośrednio od producenta.
Joomla Guru może wykonać kopię, aktualizację rozszerzeń i test strony. Jeżeli komponent działał publicznie w podatnej wersji, możemy również przeprowadzić audyt bezpieczeństwa Joomla albo pomóc w usunięciu skutków włamania.