Przejdź do głównej treści

TF Content 2.9.0 - 2.9.4: dwie luki dostępne bez logowania. Sprawdź wersję

  • FAQ:

    Czy każda instalacja poniesie taki sam skutek?

    Nie. Skutek wywołania zadania zależy od jego konfiguracji. Druga luka dotyczy rekordów obsługiwanych przez komponent.

    Czy wystarczy zainstalować nowy pakiet?

    Aktualizacja usuwa podatny kod, ale nie cofa wcześniejszych zmian. Warto sprawdzić historię zadań, rekordy i logi.

    Czy do wykorzystania luk potrzebne jest konto?

    Nie. Obie opisane ścieżki są dostępne dla osoby niezalogowanej.

    Gdzie pobrać TF Content?

    Na oficjalnej stronie Joomla Fry, do której prowadzi odnośnik w artykule. Po instalacji potwierdź numer wersji.

    Które wersje TF Content są podatne?

    Oba rekordy CVE wskazują wersje 2.9.0–2.9.4. W katalogu Joomla dostępna jest wersja 2.9.5.

TF Content w wersjach 2.9.0–2.9.4 ma dwie podatności dostępne bez logowania. Jedna pozwala wywołać opublikowane zadanie automatyczne przed zaplanowanym czasem. Druga umożliwia zmianę cudzego rekordu, w tym jego statusu publikacji i poziomu dostępu. Opisują je CVE-2026-102779 oraz CVE-2026-102780.

Według katalogu rozszerzeń Joomla dostępna jest już wersja 2.9.5, opublikowana 2 października 2026 r. Sprawdź numer zainstalowanego komponentu i pobierz aktualny pakiet od producenta. Przed wdrożeniem zrób kopię strony, zwłaszcza jeśli TF Content obsługuje formularze lub dane klientów.

Joomla Guru może pomóc w aktualizacji i kontroli działania formularzy. Przy podejrzeniu nieuprawnionych zmian potrzebna jest analiza rekordów i logów; zajmujemy się też usuwaniem skutków włamania.

Trzy krytyczne luki SQL Injection w rozszerzeniach OrdaSoft. Natychmiast aktualizuj

  • FAQ:

    Czy atakujący musi mieć konto w Joomla?

    Nie w przypadku luk SQL Injection opisanych w CVE. Podatne ścieżki są dostępne bez uwierzytelnienia.

    Dlaczego dla Book Library zalecana jest wersja 6.4.7?

    Rekord CVE jest niespójny. Tytuł wskazuje wersje starsze niż 6.4.6, a pole zakresu obejmuje także 6.4.6. Pakiet 6.4.7 usuwa tę niepewność.

    Czy podatności dotyczą edycji Pro?

    Rekordy CVE formalnie wymieniają edycje Free. Użytkownicy Pro i ShopPro powinni pobrać najnowszy pakiet ze swojego konta i potwierdzić status wersji z OrdaSoft.

    Czy po aktualizacji potrzebny jest audyt?

    Jeżeli podatna wersja była publicznie dostępna, warto sprawdzić logi, konta, sesje, bazę danych i pliki. Sama aktualizacja nie potwierdza, że luka nie została wcześniej wykorzystana.

    Do jakich wersji należy zaktualizować?

    Zainstaluj Real Estate Manager 6.7.9, Vehicle Manager 6.5.9 i Book Library 6.4.7 albo nowsze wydania dostępne u producenta.

    Czy Joomla zawsze pokaże powiadomienie o aktualizacji?

    Nie należy na tym polegać. Powiadomienie może pojawić się z opóźnieniem, dlatego numery wersji trzeba sprawdzić ręcznie.

    Które rozszerzenia OrdaSoft wymagają aktualizacji?

    Real Estate Manager Free, Vehicle Manager Free i Book Library Free. Każdy z tych komponentów ma krytyczną lukę SQL Injection oraz podatność reflected XSS.

W trzech rozszerzeniach OrdaSoft dla Joomla wykryto krytyczne podatności SQL Injection dostępne bez logowania. Problemy dotyczą Real Estate Manager, Vehicle Manager i Book Library. Każdy z tych komponentów ma również osobną lukę typu reflected XSS.

Najpoważniejsze błędy otrzymały ocenę 9,3 w skali CVSS 4.0. Atakujący nie potrzebuje konta ani uprawnień w Joomla. Wystarczy, że podatny widok rozszerzenia jest dostępny z internetu.

Jeżeli używasz któregoś z tych komponentów, nie czekaj wyłącznie na komunikat w panelu Joomla. Powiadomienie o aktualizacji może pojawić się z opóźnieniem albo nie zostać wyświetlone od razu. Sprawdź wersję ręcznie i pobierz aktualny pakiet bezpośrednio od producenta.

Joomla Guru może wykonać kopię, aktualizację rozszerzeń i test strony. Jeżeli komponent działał publicznie w podatnej wersji, możemy również przeprowadzić audyt bezpieczeństwa Joomla albo pomóc w usunięciu skutków włamania.