Phoca Gallery 6.1.6 usuwa lukę, przez którą dane zapisane wewnątrz zdjęcia mogły uruchomić skrypt w przeglądarce osoby oglądającej informacje o fotografii. Problem to CVE-2026-102786, oceniony na CVSS 4.0: 8,6 (wysoki). Według rekordu podatne są wersje od 4.5.0 do 6.1.5 włącznie.
Poprawkę wydano 19 października 2026 r., a CVE opublikowano 23 października. Sprawdź numer galerii ręcznie, zwłaszcza na Joomla 4 i 5. Ich kanały aktualizacji nadal wskazują starsze wydania komponentu mieszczące się w podatnym zakresie.
Joomla Guru może wykonać kopię, aktualizację Phoca Gallery i test strony. Przy podejrzeniu wykorzystania luki pomagamy również w analizie incydentu i usunięciu skutków włamania.
Spis treści
Jak zdjęcie staje się źródłem XSS?
Zdjęcie może zawierać metadane EXIF, np. informacje o aparacie i współrzędne GPS. Można je zmienić przed wysłaniem pliku. Nie są zaufanymi danymi tylko dlatego, że zwykle zapisuje je aparat.
Luka dotyczy widoku informacji o fotografii, który przetwarza te wartości i umieszcza je w stronie. Przygotowana zawartość pozostaje w przesłanym materiale i może uruchomić skrypt, gdy ktoś otworzy odpowiedni widok. Skrypt działa w kontekście witryny. Szczególnie niebezpieczne jest otwarcie takiej informacji przez zalogowanego administratora.
Przygotowane zdjęcie musi trafić do galerii, np. przez konto z uprawnieniami uploadu. Rekord CVE nazywa lukę uwierzytelnioną, lecz wektor CVSS zawiera PR:N. To niespójność opisu i punktacji. Nie traktujemy jej jako potwierdzenia, że na każdej stronie anonimowy gość może przesłać zdjęcie.
Co zmienia 6.1.6?
Producent oznaczył 6.1.6 jako wydanie bezpieczeństwa. Porównanie kodu pokazuje zmiany w widoku informacji: wartości danych GPS są rzutowane na liczby, a obliczenia zabezpieczono przed dzieleniem przez zero. Sprawdziliśmy też oficjalny ZIP: jego manifest podaje wersję 6.1.6.
Dlaczego Joomla może nie pokazać poprawki?
Na 23 października manifest aktualizacji producenta rozdziela wydania następująco:
| CMS | Oferowana Phoca Gallery | Status |
|---|---|---|
| Joomla 6 | 6.1.6 | Wydanie z poprawką. |
| Joomla 5 | 5.1.3 | W podatnym zakresie CVE. |
| Joomla 4 | 4.5.5 | W podatnym zakresie CVE. |
Jeśli na Joomla 4 lub 5 zainstalowano już komponent 6.x, aktualizator może widzieć tylko niższy numer ze swojej gałęzi i nie proponować żadnej zmiany. Komunikat „brak aktualizacji” nie dowodzi więc, że galeria jest zabezpieczona.
Pobierz poprawkę i sprawdź zgodność
Pobierz Phoca Gallery 6.1.6 ZIP →
To bezpośredni link do oficjalnego komponentu. Strona pobierania Phoca opisuje pakiet jako J6, ale zawiera też oznaczenie 5.x/6.x. Nie potwierdziliśmy instalacji na Joomla 4 ani 5, dlatego najpierw trzeba sprawdzić zgodność.
- Wykonaj pełną kopię i zapisz wersję CMS oraz galerii.
- Na Joomla 6 zaktualizuj komponent do 6.1.6. Jeśli monit się nie pojawia, pobierz pakiet ręcznie i potwierdź numer po instalacji.
- Na Joomla 4 i 5 sprawdź poprawiony pakiet na kopii strony lub uzgodnij zgodność z producentem. Może być potrzebna aktualizacja CMS. Do tego czasu ogranicz dostęp do galerii i uploadu albo tymczasowo ją wyłącz.
- Przetestuj zdjęcia i informacje EXIF. Przejrzyj konta z prawem uploadu i fotografie dodane przez nieznane osoby.
Samo wyłączenie nowych uploadów nie rozwiązuje problemu zdjęć już zapisanych w galerii. Przy podejrzeniu złośliwych metadanych odizoluj pliki do analizy. Jeśli administrator otwierał podejrzany widok, sprawdź sesje i nieoczekiwane zmiany w witrynie.
Źródła
FAQ
