--- title: "Phoca Download 6.1.6 blokuje podrobione żądania usuwania plików - Joomla Guru" description: "Phoca Download 6.1.6 usuwa CSRF w akcjach plików. Sprawdź CVE-2026-102787 i starsze gałęzie, którym Joomla nie proponuje poprawki." url: "https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow" date: "2026-10-28T09:10:31+00:00" language: "pl-PL" --- ![Phoca Download 6.1.6 blokuje podrobione żądania usuwania plików](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) # Phoca Download 6.1.6 blokuje podrobione żądania usuwania plików [Autor: Marcin Równicki](https://joomlaguru.pl/marcin-rownicki) Publikacja: 28.10.2026 | 1:15 [Kategoria: Joomla](https://joomlaguru.pl/joomla) [FAQ](#faq) --- **Phoca Download 6.1.6 dodaje brakującą kontrolę tokenu przy publikowaniu, ukrywaniu i usuwaniu plików przez panel użytkownika.** Luka [CVE-2026-102787](https://www.cve.org/CVERecord?id=CVE-2026-102787) ma ocenę **CVSS 4.0: 5,3 (średnia)**. Rekord wymienia jako podatne wersje 3.1.0–6.1.5. Warunkiem ataku jest wykorzystanie sesji zalogowanej osoby z odpowiednimi prawami do kategorii. To kolejna sytuacja, w której sam brak powiadomienia Joomla może wprowadzić w błąd. Poprawkę otrzymała gałąź 6.x, a kanały dla Joomla 3, 4 i 5 nadal wskazują starsze wersje. W ramach [opieki serwisowej Joomla](https://joomlaguru.pl/uslugi/opieka-serwisowa-joomla) możemy sprawdzić uprawnienia, wykonać kopię i zaktualizować komponent. Jeśli pliki zniknęły lub zmieniła się ich publikacja bez wiedzy właściciela, pomagamy też w [analizie incydentu](https://joomlaguru.pl/uslugi/usuwanie-wirusow). ## Spis treści 1. [Co może zrobić podrobione żądanie?](https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow#co-moze-zrobic-podrobione-zadanie) 2. [Co zweryfikowaliśmy w poprawce?](https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow#co-zweryfikowalismy-w-poprawce) 3. [Które Joomla otrzyma poprawkę?](https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow#ktore-joomla-otrzyma-poprawke) 4. [Pobieranie i działania administratora](https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow#pobieranie-i-dzialania-administratora) 5. [Źródła](https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow#zrodla) ## Co może zrobić podrobione żądanie? W starszym kontrolerze sprawdzano prawa użytkownika do kategorii, ale nie token formularza. Atakujący mógł nakłonić uprawnioną, zalogowaną osobę do otwarcia przygotowanej strony lub linku. Jej przeglądarka wysyłała wtedy żądanie w ramach aktywnej sesji. Skutkiem mogła być zmiana publikacji lub usunięcie wpisu pliku. Usunięcie samego pliku z dysku zależy od konfiguracji komponentu. Nie opisujemy tej luki jako odczytu danych ani wykonania kodu. Ograniczenie praw usuwania w kategoriach ma tu znaczenie: żądanie nadal wymaga uprawnień ofiary. ## Co zweryfikowaliśmy w poprawce? [Phoca potwierdza poprawkę CSRF w komunikacie z 26 października](https://www.phoca.cz/news/1532-phoca-download-version-6-1-6-released-security-release). Porównaliśmy oficjalne pakiety 6.1.5 i 6.1.6: akcje w `site/controllers/user.php` przechodzą teraz przez wspólną obsługę, zaczynającą się od `checkToken('request')`. Zwykłe sprawdzenie praw użytkownika nie zastępuje tej kontroli. ## Które Joomla otrzyma poprawkę? | Joomla | Wersja w oficjalnym kanale | Ocena na 28.10.2026 | |---|---|---| | 6 | 6.1.6 | Wydanie z poprawką. | | 5 | 5.1.3 | W zakresie podatności CVE. | | 4 | 4.0.9 | W zakresie podatności CVE. | | 3 | 3.2.3 | W zakresie podatności CVE. | Wynika to z [manifestu aktualizacji producenta](https://raw.githubusercontent.com/PhocaCz/PhocaDownload/master/manifest.xml). **Na starszym CMS możesz nie dostać 6.1.6** w aktualizatorze, nawet jeśli masz już zainstalowaną wcześniejszą wersję 6.x. ## Pobieranie i działania administratora [**Pobierz Phoca Download 6.1.6 ZIP →**](https://github.com/PhocaCz/PhocaDownload/releases/download/6.1.6/com_phocadownload_v6.1.6.zip) 1. Wykonaj kopię i zapisz wersję Joomla oraz komponentu. 2. Na Joomla 6 zainstaluj 6.1.6. Jeśli nie ma monitu, pobierz pakiet ręcznie i potwierdź numer po instalacji. 3. Na starszym CMS sprawdź zgodność na kopii lub uzgodnij z producentem drogę aktualizacji. Producent określa 6.1.6 jako natywne wydanie dla Joomla 6. Nie zakładaj, że wystarczy wymusić instalację na Joomla 3, 4 lub 5. 4. Do czasu wdrożenia ogranicz prawa usuwania w kategoriach i dostęp do panelu zarządzania plikami od frontu. Przetestuj publikowanie, ukrywanie i usuwanie na pliku testowym. Wcześniejsze problemy uploadu omawialiśmy w [artykule o Events Booking i Phoca Download](https://joomlaguru.pl/joomla/podatnosci-events-booking-phoca-download-joomla-aktualizacje-lipiec-2026). Obecna poprawka dotyczy odrębnej luki. ## Źródła - [CVE-2026-102787](https://www.cve.org/CVERecord?id=CVE-2026-102787) - [Phoca: komunikat bezpieczeństwa](https://www.phoca.cz/news/1532-phoca-download-version-6-1-6-released-security-release) - [Phoca: oficjalny pakiet 6.1.6](https://github.com/PhocaCz/PhocaDownload/releases/tag/6.1.6) - [Phoca: kanały aktualizacji](https://raw.githubusercontent.com/PhocaCz/PhocaDownload/master/manifest.xml) Aktualizacja: 28.10.2026 | 0:33 [ Zostaw opinie ](https://g.page/r/Cfa6o9akPR8PEBE/review) [ Preferuj to źródło w Google ](https://www.google.com/preferences/source?q=joomlaguru.pl) **Zostaw Opinie:** Jeśli uzałeś/aś że znalezione materiały na stronię są wartościowe lub miałeś styczność z naszymi usługami. To zachęcamy do pozostawienia opini o Joomla Guru. To nic nie kosztuje, a nam pomaga w rozwoju. **Preferuj źródło** w Google dzięki temu możesz wskazać iż joomlaguru.pl jest wartościowym źródłem wiedzy dla Ciebie. ### FAQ --- ### Czy luka pozwala wykonać kod? Opisany CSRF dotyczy akcji publikacji i usuwania plików. Nie potwierdza odczytu danych ani wykonania kodu. ### Dlaczego Joomla 5 nie proponuje 6.1.6? Manifest producenta kieruje Joomla 5 do 5.1.3. Poprawka 6.1.6 jest oferowana Joomla 6. Sprawdź zgodność i drogę aktualizacji CMS. ### Czy brak monitu oznacza bezpieczeństwo? Nie. Porównaj numer komponentu i gałąź Joomla z oficjalnym manifestem. ### Czy ofiara musi być zalogowana? Tak, potrzebna jest sesja użytkownika mającego odpowiednie prawa do kategorii. Atak wykorzystuje jego przeglądarkę. ### Skąd pobrać poprawkę? Z oficjalnego wydania Phoca na GitHub. Artykuł zawiera bezpośredni link do com\_phocadownload\_v6.1.6.zip. --- [![Marcin Równicki Najlepszy ekspert od Joomla i Yootheme PRO w Polsce! Właściciel Joomlaguru.pl](https://joomlaguru.pl/images/Marcin-Rownicki-PM-2025.webp)](https://joomlaguru.pl/marcin-rownicki) #### [ O Marcin Równicki ](https://joomlaguru.pl/marcin-rownicki) Z Joomla pracuję od czasów Mambo (2008), dzięki czemu znam ten system od jego początków aż po najnowsze wydania. Specjalizuję się w budowie i modernizacji stron, migracjach, bezpieczeństwie, usuwaniu skutków włamań oraz stałej opiece technicznej. Tworzę rozwiązania możliwie blisko core Joomla i pracuję z YOOtheme Pro, dbając o wygodne zarządzanie stroną, jej wydajność oraz bezpieczne aktualizacje. Joomla Guru wyrosło z wieloletniego bloga, którego celem było praktyczne wspieranie użytkowników i administratorów Joomla. [ Więcej o autorze ](https://joomlaguru.pl/marcin-rownicki "Więcej o autorze Marcin Równicki ekspert od Joomla i YooTheme PRO") ## Powiązane [ ![iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO Więcej ](https://joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja) [ ![Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych Więcej ](https://joomlaguru.pl/joomla/quix-6-4-0-ochrona-dostepu-do-artykulow) [ ![Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0 Więcej ](https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Start", "item": "https://joomlaguru.pl" }, { "@type": "ListItem", "position": 2, "name": "Joomla", "item": "https://joomlaguru.pl/joomla" }, { "@type": "ListItem", "position": 3, "name": "Phoca Download 6.1.6 blokuje podrobione żądania usuwania plików", "item": "https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow" } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://joomlaguru.pl/joomla/phoca-download-6-1-6-csrf-usuwanie-plikow" }, "headline": "Phoca Download 6.1.6 blokuje podrobione żądania usuwania plików", "description": "Phoca Download 6.1.6 dodaje brakującą kontrolę tokenu przy publikowaniu, ukrywaniu i usuwaniu plików przez panel użytkownika. Luka CVE-2026-102787 ma ocenę CVSS 4.0: 5,3 (średnia). Rekord wymienia jako podatne wersje 3.1.0–6.1.5. Warunkiem ataku jest wykorzystanie sesji zalogowanej osoby z odpowiednimi prawami do kategorii. To kolejna sytuacja, w której sam brak powiadomienia Joomla może wprowadzić w błąd. Poprawkę otrzymała gałąź 6.x, a kanały dla Joomla 3, 4 i 5 nadal wskazują starsze wersje. W ramach opieki serwisowej Joomla możemy sprawdzić uprawnienia, wykonać kopię i zaktualizować komponent. Jeśli pliki zniknęły lub zmieniła się ich publikacja bez wiedzy właściciela, pomagamy też w analizie incydentu.", "image": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp" }, "publisher": { "@type": "Organization", "name": "Joomla Guru", "logo": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/logo-joomla-guru.svg" } }, "author": { "@type": "Person", "name": "Marcin Równicki", "url": "https://joomlaguru.pl/marcin-rownicki" }, "datePublished": "2026-10-28T01:15:52+01:00", "dateCreated": "2026-10-28T01:15:52+01:00", "dateModified": "2026-10-28T00:33:25+01:00" } ```