Phoca Download 6.1.6 dodaje brakującą kontrolę tokenu przy publikowaniu, ukrywaniu i usuwaniu plików przez panel użytkownika. Luka CVE-2026-102787 ma ocenę CVSS 4.0: 5,3 (średnia). Rekord wymienia jako podatne wersje 3.1.0–6.1.5. Warunkiem ataku jest wykorzystanie sesji zalogowanej osoby z odpowiednimi prawami do kategorii.
To kolejna sytuacja, w której sam brak powiadomienia Joomla może wprowadzić w błąd. Poprawkę otrzymała gałąź 6.x, a kanały dla Joomla 3, 4 i 5 nadal wskazują starsze wersje.
W ramach opieki serwisowej Joomla możemy sprawdzić uprawnienia, wykonać kopię i zaktualizować komponent. Jeśli pliki zniknęły lub zmieniła się ich publikacja bez wiedzy właściciela, pomagamy też w analizie incydentu.
Spis treści
Co może zrobić podrobione żądanie?
W starszym kontrolerze sprawdzano prawa użytkownika do kategorii, ale nie token formularza. Atakujący mógł nakłonić uprawnioną, zalogowaną osobę do otwarcia przygotowanej strony lub linku. Jej przeglądarka wysyłała wtedy żądanie w ramach aktywnej sesji.
Skutkiem mogła być zmiana publikacji lub usunięcie wpisu pliku. Usunięcie samego pliku z dysku zależy od konfiguracji komponentu. Nie opisujemy tej luki jako odczytu danych ani wykonania kodu. Ograniczenie praw usuwania w kategoriach ma tu znaczenie: żądanie nadal wymaga uprawnień ofiary.
Co zweryfikowaliśmy w poprawce?
Phoca potwierdza poprawkę CSRF w komunikacie z 26 października. Porównaliśmy oficjalne pakiety 6.1.5 i 6.1.6: akcje w site/controllers/user.php przechodzą teraz przez wspólną obsługę, zaczynającą się od checkToken('request'). Zwykłe sprawdzenie praw użytkownika nie zastępuje tej kontroli.
Które Joomla otrzyma poprawkę?
| Joomla | Wersja w oficjalnym kanale | Ocena na 28.10.2026 |
|---|---|---|
| 6 | 6.1.6 | Wydanie z poprawką. |
| 5 | 5.1.3 | W zakresie podatności CVE. |
| 4 | 4.0.9 | W zakresie podatności CVE. |
| 3 | 3.2.3 | W zakresie podatności CVE. |
Wynika to z manifestu aktualizacji producenta. Na starszym CMS możesz nie dostać 6.1.6 w aktualizatorze, nawet jeśli masz już zainstalowaną wcześniejszą wersję 6.x.
Pobieranie i działania administratora
Pobierz Phoca Download 6.1.6 ZIP →
- Wykonaj kopię i zapisz wersję Joomla oraz komponentu.
- Na Joomla 6 zainstaluj 6.1.6. Jeśli nie ma monitu, pobierz pakiet ręcznie i potwierdź numer po instalacji.
- Na starszym CMS sprawdź zgodność na kopii lub uzgodnij z producentem drogę aktualizacji. Producent określa 6.1.6 jako natywne wydanie dla Joomla 6. Nie zakładaj, że wystarczy wymusić instalację na Joomla 3, 4 lub 5.
- Do czasu wdrożenia ogranicz prawa usuwania w kategoriach i dostęp do panelu zarządzania plikami od frontu. Przetestuj publikowanie, ukrywanie i usuwanie na pliku testowym.
Wcześniejsze problemy uploadu omawialiśmy w artykule o Events Booking i Phoca Download. Obecna poprawka dotyczy odrębnej luki.
Źródła
FAQ
