J2Store wymaga kolejnej pilnej aktualizacji. Sześć nowych podatności obejmuje SQL Injection bez logowania, odczyt plików serwera oraz zmianę statusu dowolnego zamówienia na nieudane. Najpoważniejsze z nowych błędów otrzymały ocenę 8,7 w CVSS 4.0.
Poprawki wydano w wersjach J2Store 3.3.23, 4.0.23 i 4.1.8. Wcześniejsze wydania 3.3.22, 4.0.22 i 4.1.7 naprawiały pięć opisanych wcześniej luk, ale nadal zawierają sześć kolejnych problemów. W tym artykule opisujemy teraz łącznie jedenaście CVE.
Joomla Guru może wykonać kopię, aktualizację J2Store i test procesu zakupowego. Jeżeli sklep pracował na starszej wersji, możemy sprawdzić zamówienia, pliki, konta i bazę oraz przeprowadzić usuwanie skutków włamania.
Spis treści
- Sześć kolejnych podatności w J2Store
- SQL Injection jest dostępny z publicznej strony sklepu
- Drugi błąd umożliwiał odczyt plików
- Zamówienia i adresy klientów również były zagrożone
- Wcześniejsze pięć luk nadal ma znaczenie
- Którą wersję zainstalować?
- Co sprawdzić po aktualizacji?
- Pomoc w zabezpieczeniu sklepu Joomla
- Źródła
Sześć kolejnych podatności w J2Store
| CVE | CVSS 4.0 | Skutek | Wymagany dostęp |
|---|---|---|---|
| CVE-2026-81567 | 8,7 High | blind SQL Injection w publicznej liście produktów | bez logowania |
| CVE-2026-81568 | 8,7 High | odczyt plików dostępnych dla procesu serwera | prawidłowy token pobierania produktu |
| CVE-2026-82189 | 8,7 High | zmiana statusu dowolnego zamówienia na FAILED | bez logowania |
| CVE-2026-78081 | 7,1 High | CSRF w koszyku, kasie i profilu klienta | działanie przeglądarki ofiary |
| CVE-2026-82190 | 6,3 Medium | możliwość wyliczenia tokenu dostępu do zamówienia po poznaniu sekretu Joomla | wcześniejsze pozyskanie sekretu witryny |
| CVE-2026-82191 | 5,3 Medium | wstrzyknięcie parametrów do przekierowania PayPal | otwarcie spreparowanego odnośnika |
SQL Injection jest dostępny z publicznej strony sklepu
Modele listy produktów i tagów produktów przyjmowały tablicę product_types bez prawidłowego cytowania. Wartość trafiała bezpośrednio do fragmentu zapytania SQL. Atakujący nie potrzebował konta ani interakcji administratora.
Luka pozwalała na odczyt danych metodą blind SQL Injection, między innymi przez różnice w odpowiedzi lub opóźnienia zapytania. Zagrożone mogły być dane klientów, zamówienia, tokeny oraz informacje przechowywane w innych tabelach Joomla.
Drugi błąd umożliwiał odczyt plików
Obsługa cyfrowych plików produktów nie sprawdzała, czy docelowa ścieżka nadal znajduje się wewnątrz katalogu załączników. Jeżeli w bazie znalazła się nazwa zawierająca ../, posiadacz ważnego tokenu pobierania mógł sięgnąć po inny plik czytelny dla PHP, na przykład configuration.php.
Ten scenariusz wymagał odpowiednio przygotowanego rekordu produktu i tokenu pobierania. Mógł jednak zostać połączony z luką CSRF w zarządzaniu plikami produktów.
Zamówienia i adresy klientów również były zagrożone
Anonimowe żądanie do obsługi powiadomień PayPal mogło ustawić dowolne zamówienie jako FAILED. Osobny błąd CSRF pozwalał zmienić adres rozliczeniowy lub wysyłkowy w aktywnej sesji klienta. Sklepy powinny porównać statusy zamówień z rzeczywistymi transakcjami operatora płatności.
Token dostępu do zamówienia był tworzony z sekretu Joomla i przewidywalnego identyfikatora. Sama znajomość identyfikatora nie wystarczała, ale po wcześniejszym wycieku sekretu można było wyliczyć tokeny dla innych zamówień. Jeżeli sekret mógł zostać ujawniony, trzeba rozważyć jego zmianę. Spowoduje to unieważnienie dotychczasowych odnośników do zamówień i pobierania plików.
Wcześniejsze pięć luk nadal ma znaczenie
| CVE | CVSS 4.0 | Skutek |
|---|---|---|
| CVE-2026-78069 | 9,5 Critical | operacje na tabelach J2Store i wykonanie pliku SQL przez Path Traversal |
| CVE-2026-78064 | 8,8 High | dodanie lub nadpisanie rekordu koszyka innej sesji |
| CVE-2026-77999 | 8,7 High | potwierdzenie nieopłaconego zamówienia lub odrzucenie prawidłowej płatności PayPal |
| CVE-2026-78065 | 7,1 High | odczyt danych adresowych klientów kupujących bez rejestracji |
| CVE-2026-78000 | 5,3 Medium | reflected XSS w filtrach tagów i cen |
Którą wersję zainstalować?
| Gałąź | Wersje podatne na nowy zestaw luk | Wersja naprawcza |
|---|---|---|
| Joomla 3, J2Store 3.3.x | 3.3.22 i starsze | 3.3.23 |
| J2Store 4.0.x | 4.0.22 i starsze | 4.0.23 |
| J2Store 4.1.x | 4.1.7 i starsze | 4.1.8 |
| J2Commerce 6 | nie dotyczy | osobna baza kodu |
Pobierz aktualny pakiet J2Store →
Komunikat bezpieczeństwa J2Commerce →
Nie zmieniaj gałęzi tylko dlatego, że ma wyższy numer. Zainstaluj poprawkę przeznaczoną dla obecnej linii. Powiadomienie Joomla może pojawić się z opóźnieniem, dlatego sprawdź numer wersji ręcznie i w razie potrzeby pobierz pakiet z konta J2Commerce.
Co sprawdzić po aktualizacji?
- Porównaj zamówienia oznaczone jako CONFIRMED i FAILED z historią transakcji.
- Sprawdź nietypowe zmiany adresów dostawy i rozliczeń.
- Przejrzyj logi pod kątem żądań do listy produktów z nietypowymi wartościami
product_types. - Zweryfikuj ścieżki zapisane przy cyfrowych plikach produktów.
- Jeżeli sekret Joomla mógł wyciec, zaplanuj jego zmianę i poinformuj klientów o unieważnieniu starych odnośników.
- Przetestuj własne nadpisania szablonów kasy i profilu. Po aktualizacji formularze bez nowego tokenu CSRF mogą zwracać komunikat Invalid Token.
Pomoc w zabezpieczeniu sklepu Joomla
W ramach opieki serwisowej Joomla wykonamy kopię, dobierzemy pakiet do właściwej gałęzi i przetestujemy koszyk, płatności oraz zamówienia. Jeżeli sklep działał na podatnym wydaniu, przeanalizujemy pliki, konta, bazę i logi. W przypadku potwierdzenia incydentu wykonamy czyszczenie zainfekowanej strony Joomla.
Źródła
FAQ
