Helix Ultimate 2.2.11 z 29 października 2026 r. zawiera kolejne poprawki bezpieczeństwa, w tym korektę filtra osadzonych mediów wprowadzonego w 2.2.10. Wydanie poprawia też kodowanie danych w wyborze mediów, walidację presetu strony błędu i obsługę pól Mega Menu.
Sprawdź dwie wersje: pluginu System – Helix Ultimate Framework oraz używanego szablonu. Aktualizacja frameworka z panelu Joomla nie potwierdza, że zaktualizowano również pliki szablonu. Nowe wydanie należy do gałęzi dla Joomla 4, 5 i 6; nie jest pakietem dla Joomla 3.
Joomla Guru może wykonać kopię, aktualizację frameworka i szablonu oraz test strony. Jeśli widzisz obcy kod lub nieznane zmiany kont, pomagamy też w analizie i usuwaniu skutków włamania.
Spis treści
Co poprawia 2.2.11?
| Obszar | Zmiana | Kontekst |
|---|---|---|
| Osadzanie mediów | Ścisła lista dozwolonych tagów i atrybutów. | Edycja artykułu i pól osadzania. |
| Wybór mediów | Kodowanie nazw, ścieżek, podglądów i nawigacji. | Dostęp do media pickera Helix. |
| Strona błędu | Walidacja nazwy presetu i bezpieczna wartość domyślna. | Edycja ustawień stylu. |
| Mega Menu | Filtrowanie tekstu badge i usuwanie znaczników. | Edycja menu. |
| Obrazy artykułu | Kontrola ID i powiązania obrazu z artykułem. | Operacja edycji obrazu. |
| Oceny | Token w żądaniu JavaScript, zakres 1–5 i kontrola publikacji. | Korzystanie z oceniania. |
Opisane ścieżki bezpieczeństwa wiążą się z dostępem do funkcji edycji. Nie przedstawiamy tej aktualizacji jako naprawy nowego ataku dostępnego każdemu anonimowemu odwiedzającemu.
Filtr mediów w 2.2.10 wymagał korekty
Sprawdziliśmy oficjalną zmianę InputFilter. Lista tagów mediów trafiała do filtra z flagami trybu blokowania. W 2.2.11 ustawiono tryb listy dozwolonej, aby przepuszczać wyłącznie wskazane tagi i atrybuty. To ważne dla danych wpisywanych przez użytkownika w polu osadzania.
Na 29 października nie znaleźliśmy publicznego CVE dla tej serii zmian. Nie podajemy własnego wyniku CVSS. Wcześniejsze rekordy i poprawki 2.2.10 opisaliśmy w poprzednim artykule o Helix Ultimate.
Oceny artykułów: działanie i walidacja
Changelog umieszcza ocenianie w sekcji Security. Oficjalny pull request pokazuje dodanie tokenu do żądania JavaScript i dodatkowych kontroli danych. Nie oznacza to, że wcześniej serwer w ogóle nie sprawdzał tokenu. Nie liczymy więc każdej pozycji changelogu jako nowej, odrębnej luki CSRF.
Pobierz właściwe pakiety
- Pobierz plugin Helix Ultimate Framework 2.2.11 ZIP →
- Pobierz bazowy szablon Helix Ultimate 2.2.11 ZIP →
- JoomShaper: oficjalne pobieranie →
Zweryfikowaliśmy oficjalne archiwa i ich manifesty. Pakiet szablonu zawiera również framework. Po instalacji sprawdź końcowy numer obu rozszerzeń, zamiast zakładać, że jedna pozycja znikająca z aktualizatora kończy cały proces.
- Wykonaj kopię plików i bazy. Zapisz nazwy szablonów, nadpisania i własne modyfikacje.
- Zaktualizuj framework do 2.2.11. Jeśli nie ma monitu, sprawdź pakiet ręcznie.
- Jeśli używasz bazowego
shaper_helixultimate, zainstaluj właściwy pakiet Template. Dla szablonu o innej nazwie sprawdź wydanie jego producenta; nie zastępuj go automatycznie szablonem bazowym. - Nie instaluj QuickStart na istniejącej stronie. To pełna witryna demonstracyjna, nie aktualizacja.
- Wyczyść cache i przetestuj media, Mega Menu, wybór obrazów, edycję i ocenianie artykułów. Sprawdź też własny CSS i nadpisania.
Co z Joomla 3?
Standardowe 2.2.11 nie jest aktualizacją dla Joomla 3. Stary CMS ma osobną linię pakietów bezpieczeństwa. Sprawdź komunikaty producenta i zaplanuj migrację; nie wymuszaj instalacji pakietu dla nowszej Joomla.
Źródła
FAQ
