JReviews zapisywał poufne ustawienia w pliku cache dostępnym przez WWW. Chodzi m.in. o sekret Joomla i klucze API zapisane w konfiguracji dodatku. Poprawka jest w wydaniach 6.7.0 i 5.13.0 z 4 listopada 2026 r. W gałęzi 6 dostępne jest już 6.7.1 z dodatkowymi poprawkami działania.
Spis treści
Publiczny CVE: ujawnienie konfiguracji
CVE-2026-118494, opublikowane 5 listopada, ma CVSS 4.0: 8,2 (wysoka). Rekord obejmuje JReviews 1.0.0–5.12.0 oraz 6.0.0–6.6.9. Opis dotyczy komponentu Joomla, nie samego rdzenia CMS.
JReviews przechowywał tabelę ustawień jako zserializowane dane w cache S2Framework pod katalogiem components/com_s2framework/tmp/cache/core/. Osoba znająca nazwę pliku mogła odczytać go bez logowania. To ważny warunek: rekord nie opisuje możliwości automatycznego wylistowania wszystkich plików. Jednocześnie brak listowania katalogu nie chroni pliku, którego dokładny adres jest znany.
| Gałąź | Wydanie z poprawką | Zalecenie na 6 listopada |
|---|---|---|
| JReviews 6 | 6.7.0 | Sprawdź 6.7.1, które jest już dostępne. |
| JReviews 5 | 5.13.0 | Zainstaluj 5.13.0 lub późniejsze zgodne wydanie. |
Aktualizacja może nie wystarczyć, gdy sekret został już ujawniony
Poza aktualizacją sprawdź stare pliki cache. Nie zakładaj, że zmiana sposobu zapisu nowych danych automatycznie usuwa każdą poprzednią kopię. Oczyść odpowiedni cache metodą zalecaną przez producenta i skontroluj zabezpieczenie katalogu na używanym serwerze WWW. Nie usuwaj w ciemno całego katalogu frameworka.
Jeśli poufne wartości mogły zostać pobrane, rozważ ich wymianę: klucze usług zewnętrznych należy unieważnić u ich dostawców, a zmianę sekretu Joomla zaplanować z kopią i testem zależnych funkcji. Może wymagać ponownego logowania lub korekty integracji. Samo ukrycie pliku nie unieważnia danych, które ktoś wcześniej skopiował.
Gdzie pobrać i co przetestować?
Przejdź do konta i pobierania JReviews →. Użyj pakietu zgodnego z gałęzią i swoim CMS. Sprawdź aktualne wymagania; obecna dokumentacja wymienia Joomla 4, 5 i 6. Nie potwierdziliśmy poprawionego wydania dla Joomla 3. Stara instalacja wymaga uzgodnienia z producentem i planu migracji, nie wymuszonej instalacji niezgodnego pakietu.
- Wykonaj kopię bazy i plików, a następnie zaktualizuj właściwą gałąź.
- Potwierdź wersję oraz sprawdź katalog, recenzje, formularze i integracje wykorzystujące klucze API.
- Przejrzyj logi dostępu do cache i ustal, które sekrety były zapisane. Nie publikuj ich w zgłoszeniach ani zrzutach ekranu.
W 6.7.0 producent wymienia również poprawki praw dostępu do recenzji, tokenów formularzy i obsługi pól zapytań. Nie przypisujemy wszystkich zmian z tego wydania jednemu CVE.
W ramach opieki serwisowej Joomla pomagamy wykonać kopię, aktualizację i test strony. Przy podejrzeniu incydentu oferujemy także analizę i usuwanie złośliwego kodu. Aktualizacja nie usuwa automatycznie skutków wcześniejszego naruszenia.
Źródła
Rekord CVE-2026-118494, changelog JReviews 6, changelog JReviews 5 i wymagania producenta.
FAQ
