Publiczny formularz Custom Tables z polem pliku może pozwolić gościowi zapisać plik w katalogu tymczasowym Joomla. Luka ${cv(105606)} ma ocenę 9,5 w CVSS 4.0. Podatne są wersje od 1.0 do 3.7.7. Zaktualizuj rozszerzenie JoomlaBoat do co najmniej 3.7.8 i sprawdź, czy w katalogu tymczasowym nie ma obcych plików.
Co może zrobić osoba bez konta?
Jeśli witryna udostępnia publiczny formularz Custom Tables z polem pliku, odwiedzający może przesłać plik z wybranym rozszerzeniem. Odpowiedź ujawnia ścieżkę zapisu. Jeżeli katalog tymczasowy jest dostępny przez WWW, plik może być potem pobierany pod domeną witryny. To pozwala np. umieścić na niej stronę wyłudzającą dane.
| Problem | Warunek lub zakres | Skutek lub ocena |
|---|---|---|
| Nieograniczone przesyłanie plików | Publiczny formularz z polem pliku; bez konta | Zapis pliku w katalogu tymczasowym |
| Udostępnienie pliku | Katalog tymczasowy dostępny przez WWW | Treści napastnika pod domeną witryny |
Rekord Joomla CNA opublikowany 2 listopada 2026 r. opisuje domyślne serwowanie pliku jako treści statycznej. Nie oznacza to automatycznie wykonania PHP na każdej instalacji. Możliwość wykonania zależy od konfiguracji serwera i sposobu obsługi katalogu docelowego. To podatność Custom Tables, nie rdzenia Joomla ani komponentu JCTables.
Co zrobić przed aktualizacją i po niej?
- Zrób kopię plików i bazy. Pobierz właściwy pakiet Joomla od producenta i potwierdź w menedżerze rozszerzeń, że zainstalowana wersja to 3.7.8 lub nowsza zawierająca poprawkę. Nie instaluj wersji 3.7.7 tylko dlatego, że widnieje w kanale pobierania.
- Jeżeli nie możesz zaktualizować od razu, tymczasowo ogranicz dostęp do publicznych formularzy przesyłania plików. Sprawdź także moduły i bezpośrednie adresy formularzy, nie tylko widoczność pozycji menu.
- W konfiguracji Joomla sprawdź rzeczywistą ścieżkę katalogu tymczasowego. Przejrzyj nietypowe pliki i logi żądań. Jeśli znajdziesz coś podejrzanego, zachowaj materiał do analizy przed czyszczeniem.
- Po wdrożeniu przetestuj formularze i sprawdź, czy przyjmują tylko oczekiwane typy plików.
Sprawdź pakiety Custom Tables u JoomlaBoat →. Jeżeli strona producenta lub aktualizator pokazuje starszą wersję, potwierdź z producentem dostępność poprawionego pakietu dla swojej edycji.
W ramach opieki serwisowej Joomla pomagamy zaktualizować rozszerzenia i sprawdzić stronę po wdrożeniu. Jeśli widzisz ślady naruszenia, oferujemy również analizę i usuwanie złośliwego kodu.
Źródła
CVE-2026-105606, repozytorium Custom Tables oraz zmiana walidacji przesyłanych plików.
FAQ
