--- title: "Custom Tables 3.7.8 blokuje przesyłanie dowolnych plików bez logowania - Joomla Guru" description: "Custom Tables 1.0–3.7.7 pozwala przesyłać pliki przez publiczny formularz bez logowania. Luka ma CVSS 9,5. Sprawdź wersję 3.7.8 i katalog tmp." url: "https://joomlaguru.pl/joomla/custom-tables-3-7-8-krytyczna-luka-przesylanie-plikow" date: "2026-11-05T13:37:53+00:00" language: "pl-PL" --- ![Custom Tables 3.7.8 blokuje przesyłanie dowolnych plików bez logowania](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) # Custom Tables 3.7.8 blokuje przesyłanie dowolnych plików bez logowania [Autor: Marcin Równicki](https://joomlaguru.pl/marcin-rownicki) Publikacja: 04.11.2026 | 23:36 [Kategoria: Joomla](https://joomlaguru.pl/joomla) [FAQ](#faq) --- **Publiczny formularz Custom Tables z polem pliku może pozwolić gościowi zapisać plik w katalogu tymczasowym Joomla.** Luka ${cv(105606)} ma ocenę 9,5 w CVSS 4.0. Podatne są wersje od 1.0 do 3.7.7. Zaktualizuj rozszerzenie JoomlaBoat do co najmniej 3.7.8 i sprawdź, czy w katalogu tymczasowym nie ma obcych plików. ## Spis treści 1. [Co może zrobić osoba bez konta?](https://joomlaguru.pl/joomla/custom-tables-3-7-8-krytyczna-luka-przesylanie-plikow#co-moze-zrobic-osoba-bez-konta) 2. [Co zrobić przed aktualizacją i po niej?](https://joomlaguru.pl/joomla/custom-tables-3-7-8-krytyczna-luka-przesylanie-plikow#co-zrobic-przed-aktualizacja-i-po-niej) 3. [Źródła](https://joomlaguru.pl/joomla/custom-tables-3-7-8-krytyczna-luka-przesylanie-plikow#zrodla) ## Co może zrobić osoba bez konta? Jeśli witryna udostępnia publiczny formularz Custom Tables z polem pliku, odwiedzający może przesłać plik z wybranym rozszerzeniem. Odpowiedź ujawnia ścieżkę zapisu. Jeżeli katalog tymczasowy jest dostępny przez WWW, plik może być potem pobierany pod domeną witryny. To pozwala np. umieścić na niej stronę wyłudzającą dane. | Problem | Warunek lub zakres | Skutek lub ocena | |---|---|---| | Nieograniczone przesyłanie plików | Publiczny formularz z polem pliku; bez konta | Zapis pliku w katalogu tymczasowym | | Udostępnienie pliku | Katalog tymczasowy dostępny przez WWW | Treści napastnika pod domeną witryny | Rekord Joomla CNA opublikowany 2 listopada 2026 r. opisuje domyślne serwowanie pliku jako treści statycznej. Nie oznacza to automatycznie wykonania PHP na każdej instalacji. Możliwość wykonania zależy od konfiguracji serwera i sposobu obsługi katalogu docelowego. To podatność Custom Tables, nie rdzenia Joomla ani komponentu JCTables. ## Co zrobić przed aktualizacją i po niej? 1. Zrób kopię plików i bazy. Pobierz właściwy pakiet Joomla od producenta i potwierdź w menedżerze rozszerzeń, że zainstalowana wersja to 3.7.8 lub nowsza zawierająca poprawkę. Nie instaluj wersji 3.7.7 tylko dlatego, że widnieje w kanale pobierania. 2. Jeżeli nie możesz zaktualizować od razu, tymczasowo ogranicz dostęp do publicznych formularzy przesyłania plików. Sprawdź także moduły i bezpośrednie adresy formularzy, nie tylko widoczność pozycji menu. 3. W konfiguracji Joomla sprawdź rzeczywistą ścieżkę katalogu tymczasowego. Przejrzyj nietypowe pliki i logi żądań. Jeśli znajdziesz coś podejrzanego, zachowaj materiał do analizy przed czyszczeniem. 4. Po wdrożeniu przetestuj formularze i sprawdź, czy przyjmują tylko oczekiwane typy plików. [Sprawdź pakiety Custom Tables u JoomlaBoat →](https://joomlaboat.com/custom-tables?view=details). Jeżeli strona producenta lub aktualizator pokazuje starszą wersję, potwierdź z producentem dostępność poprawionego pakietu dla swojej edycji. W ramach [opieki serwisowej Joomla](https://joomlaguru.pl/uslugi/opieka-serwisowa-joomla) pomagamy zaktualizować rozszerzenia i sprawdzić stronę po wdrożeniu. Jeśli widzisz ślady naruszenia, oferujemy również [analizę i usuwanie złośliwego kodu](https://joomlaguru.pl/uslugi/usuwanie-wirusow). ## Źródła [CVE-2026-105606](https://www.cve.org/CVERecord?id=CVE-2026-105606), [repozytorium Custom Tables](https://github.com/joomlaboat/custom-tables) oraz [zmiana walidacji przesyłanych plików](https://github.com/joomlaboat/custom-tables/commit/631248550e). Aktualizacja: 04.11.2026 | 23:36 [ Zostaw opinie ](https://g.page/r/Cfa6o9akPR8PEBE/review) [ Preferuj to źródło w Google ](https://www.google.com/preferences/source?q=joomlaguru.pl) **Zostaw Opinie:** Jeśli uzałeś/aś że znalezione materiały na stronię są wartościowe lub miałeś styczność z naszymi usługami. To zachęcamy do pozostawienia opini o Joomla Guru. To nic nie kosztuje, a nam pomaga w rozwoju. **Preferuj źródło** w Google dzięki temu możesz wskazać iż joomlaguru.pl jest wartościowym źródłem wiedzy dla Ciebie. ### FAQ --- ### Czy atak wymaga konta? Nie, jeśli gość ma dostęp do formularza Custom Tables przyjmującego pliki. ### Czy aktualizacja usuwa przesłane wcześniej pliki? Nie należy na to liczyć. Sprawdź katalog tymczasowy oraz logi, a podejrzane pliki zabezpiecz do analizy. ### Które wersje są podatne? Publiczny rekord wymienia wersje 1.0–3.7.7. Poprawka jest w 3.7.8. ### Co zrobić, jeśli nie mogę jeszcze zaktualizować? Tymczasowo ogranicz dostęp do publicznych formularzy przesyłania plików i sprawdź rzeczywistą dostępność ich adresów. ### Czy luka zawsze oznacza wykonanie PHP? Nie. Domyślny scenariusz z rekordu CVE to zapis i udostępnienie pliku jako treści statycznej. Wykonanie skryptu zależy od konfiguracji serwera. --- [![Marcin Równicki Najlepszy ekspert od Joomla i Yootheme PRO w Polsce! Właściciel Joomlaguru.pl](https://joomlaguru.pl/images/Marcin-Rownicki-PM-2025.webp)](https://joomlaguru.pl/marcin-rownicki) #### [ O Marcin Równicki ](https://joomlaguru.pl/marcin-rownicki) Z Joomla pracuję od czasów Mambo (2008), dzięki czemu znam ten system od jego początków aż po najnowsze wydania. Specjalizuję się w budowie i modernizacji stron, migracjach, bezpieczeństwie, usuwaniu skutków włamań oraz stałej opiece technicznej. Tworzę rozwiązania możliwie blisko core Joomla i pracuję z YOOtheme Pro, dbając o wygodne zarządzanie stroną, jej wydajność oraz bezpieczne aktualizacje. Joomla Guru wyrosło z wieloletniego bloga, którego celem było praktyczne wspieranie użytkowników i administratorów Joomla. [ Więcej o autorze ](https://joomlaguru.pl/marcin-rownicki "Więcej o autorze Marcin Równicki ekspert od Joomla i YooTheme PRO") ## Powiązane [ ![Akeeba Backup i Admin Tools: nowy rekord CVE opisuje CSRF naprawiony w lipcu](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Akeeba Backup i Admin Tools: nowy rekord CVE opisuje CSRF naprawiony w lipcu Więcej ](https://joomlaguru.pl/joomla/akeeba-backup-admin-tools-csrf-poprawki-bezpieczenstwa) [ ![Tassos ACF 3.1.9 dla Joomla: poprawki bezpieczeństwa galerii i map](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Tassos ACF 3.1.9 dla Joomla: poprawki bezpieczeństwa galerii i map Więcej ](https://joomlaguru.pl/joomla/tassos-acf-3-1-9-joomla-poprawki-galerii-map) [ ![Gridbox 2.20.5.0 usuwa cztery kolejne luki. Aktualizuj także wersję 2.20.4.2](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Gridbox 2.20.5.0 usuwa cztery kolejne luki. Aktualizuj także wersję 2.20.4.2 Więcej ](https://joomlaguru.pl/joomla/gridbox-2-20-5-0-usuwanie-plikow-xss-poprawki-bezpieczenstwa) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Start", "item": "https://joomlaguru.pl" }, { "@type": "ListItem", "position": 2, "name": "Joomla", "item": "https://joomlaguru.pl/joomla" }, { "@type": "ListItem", "position": 3, "name": "Custom Tables 3.7.8 blokuje przesyłanie dowolnych plików bez logowania", "item": "https://joomlaguru.pl/joomla/custom-tables-3-7-8-krytyczna-luka-przesylanie-plikow" } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://joomlaguru.pl/joomla/custom-tables-3-7-8-krytyczna-luka-przesylanie-plikow" }, "headline": "Custom Tables 3.7.8 blokuje przesyłanie dowolnych plików bez logowania", "description": "Publiczny formularz Custom Tables z polem pliku może pozwolić gościowi zapisać plik w katalogu tymczasowym Joomla. Luka ${cv(105606)} ma ocenę 9,5 w CVSS 4.0. Podatne są wersje od 1.0 do 3.7.7. Zaktualizuj rozszerzenie JoomlaBoat do co najmniej 3.7.8 i sprawdź, czy w katalogu tymczasowym nie ma obcych plików.", "image": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp" }, "publisher": { "@type": "Organization", "name": "Joomla Guru", "logo": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/logo-joomla-guru.svg" } }, "author": { "@type": "Person", "name": "Marcin Równicki", "url": "https://joomlaguru.pl/marcin-rownicki" }, "datePublished": "2026-11-04T23:36:49+01:00", "dateCreated": "2026-11-03T12:52:01+01:00", "dateModified": "2026-11-04T23:36:49+01:00" } ```