iCagenda 4.0.17 z 27 października 2026 r. usuwa XSS w polu URL wydarzenia oraz wstrzykiwanie formuł do eksportu CSV. Aktualizacja obejmuje Core i PRO na Joomla 4, 5 i 6. Dla Joomla 3 poprawka jest dostępna tylko w PRO 3.9.17.
Producent podaje identyfikatory CVE-2026-102790 i CVE-2026-102799. Na 28 października nie znaleźliśmy jeszcze ich publicznych rekordów. Oceny „High” i „Medium” przytaczamy jako klasyfikację producenta, bez dopisywania wyników CVSS.
Joomla Guru może wykonać kopię, aktualizację i test zapisów na wydarzenia. Jeśli podejrzewasz wykorzystanie złośliwych treści, pomagamy w analizie incydentu.
Spis treści
Dwa różne scenariusze
| Problem | Zakres według producenta | Gdzie pojawia się skutek |
|---|---|---|
| XSS w polu URL | 3.2.1–4.0.16; High | Przy wyświetleniu wydarzenia z przygotowaną wartością pola. |
| Formuła w CSV | 3.5.0–4.0.16; Medium | Po eksporcie danych zapisów i otwarciu pliku w arkuszu. |
Pierwszy problem dotyczy pola niestandardowego typu URL. Jego przygotowana wartość mogła doprowadzić do uruchomienia skryptu w przeglądarce odbiorcy. Znaczenie ma dostęp do zgłaszania wydarzeń. Nie zakładaj, że formularz jest anonimowy: zależy to od jego udostępnienia i uprawnień w witrynie.
Drugi problem przenosi ryzyko z formularza do programu otwierającego CSV. Wartość zapisana jako dane może zostać rozpoznana przez arkusz jako formuła. Atak wymaga eksportu i otwarcia pliku przez odbiorcę; nie oznacza bezpośredniego wykonania kodu na serwerze Joomla. Po poprawce wygeneruj pliki CSV ponownie, zamiast używać wcześniejszych eksportów.
Joomla 3: bezpłatna gałąź bez nowej poprawki
Oficjalny komunikat Jooml!C wskazuje 4.0.17 dla Joomla 4–6 i PRO 3.9.17 dla Joomla 3. Bezpłatna gałąź 3.9 zakończyła wsparcie 13 października 2026 r. Wsparcie bezpieczeństwa PRO dla tej linii producent zapowiada do 13 października 2027 r.
Na Joomla 3 nie traktuj najnowszego bezpłatnego 3.9 jako rozwiązania tych problemów. Sprawdź możliwość użycia PRO albo zaplanuj aktualizację CMS. Nie instaluj pakietu 4.0.17 przeznaczonego dla nowszej Joomla bezpośrednio na Joomla 3.
Pobieranie i test po aktualizacji
Pobierz iCagenda Core 4.0.17 ZIP →
Strona wydania Core podaje zgodność od Joomla 4.2. Dla PRO wybierz pakiet w swoim koncie producenta; informacje o edycjach są na stronie iCagenda.
- Wykonaj kopię i sprawdź wersję Joomla oraz edycję komponentu.
- Zainstaluj właściwy pakiet: 4.0.17 na obsługiwanej Joomla 4–6 lub PRO 3.9.17 na Joomla 3. Potwierdź numer po instalacji.
- Przetestuj zgłoszenie wydarzenia, własne pole URL i formularz zapisów. Sprawdź eksport na nieprodukcyjnych danych.
- Odtwórz potrzebne pliki CSV po aktualizacji. Przejrzyj wcześniej zgłoszone wartości pól i podejrzane wydarzenia.
Powiadomienie o nowej wersji nie zawsze pojawia się od razu. Jeśli nie możesz od razu wdrożyć poprawki, producent zaleca wyłączenie pozycji menu zgłaszania wydarzeń od frontu i wstrzymanie eksportu CSV. Samo ukrycie linku w menu nie powinno być traktowane jako zamiennik kontroli dostępu.
Poprzedni problem modułu kalendarza opisaliśmy w artykule o iCagenda 4.0.13. Tamta poprawka nie obejmuje obecnych błędów.
Źródła
FAQ
