ThemeXpert wydał Quix 6.3.4 z trzema grupami poprawek bezpieczeństwa. Gość nie powinien już móc zmieniać ustawień Quix ani odczytywać stron z ograniczonym dostępem. Poprawiono również ścieżkę wykonania kodu przez edytora oraz uruchamianie skryptów pochodzących z treści artykułów Joomla.
To opis producenta z 30 września 2026 roku. Changelog nie podaje numerów CVE, oceny CVSS ani dokładnego zakresu podatnych wydań. Jeżeli na stronie działa Quix poniżej 6.3.4, zaplanuj aktualizację bez czekania na identyfikatory CVE.
Pobierz Quix Free 6.3.4 → Użytkownicy Pro powinni pobrać pakiet ze swojego konta ThemeXpert. Joomla Guru może wykonać kopię, aktualizację i test stron Quix oraz pomóc w analizie podejrzanych zmian.
Spis treści
Co dokładnie ogłosił ThemeXpert?
| Obszar | Opis poprawki producenta | Co sprawdzić po aktualizacji |
|---|---|---|
| Strony i uprawnienia | goście nie mogą zmieniać ustawień ani czytać stron z ograniczonym dostępem | ustawienia dostępu, widoki tylko dla członków i klientów |
| Edycja stron | edytorzy nie mogą uruchamiać kodu na serwerze | konta z uprawnieniami do budowania stron i historię zmian |
| Treść Joomla | tekst artykułów, tytuły i kategorie nie uruchamiają skryptów na stronach Quix | elementy wyświetlające artykuły i karty kategorii |
| Media | utwardzono wklejane obrazy, zmianę rozmiarów i JMedia | przesyłanie oraz wyświetlanie obrazów |
Producent nie opisuje mechanizmu każdego błędu. Dostęp gościa do strony z ograniczonym dostępem może oznaczać ujawnienie treści przeznaczonych dla zalogowanych użytkowników. Wykonanie kodu przez konto z prawem edycji jest poważniejsze dla witryn, w których wiele osób buduje strony w Quix.
Starsze wydania mają także wcześniejsze braki
Quix otrzymywał kilkanaście poprawek bezpieczeństwa od lipca. Przejście od razu do 6.3.4 obejmuje również poprawki z wydań pośrednich. Jeśli instalacja jest znacznie starsza, po aktualizacji sprawdź nie tylko wygląd stron, lecz także uprawnienia, formularze i użycie menedżera mediów.
Powiadomienie o nowej wersji w Joomla może pojawić się z opóźnieniem. Sprawdź ręcznie numer zainstalowanego pakietu. Przed zmianą wykonaj kopię i przetestuj witrynę, zwłaszcza gdy korzysta z prywatnych stron, JCE lub rozbudowanych formularzy.
Co zrobić, jeśli podatna wersja była dostępna publicznie?
- Zainstaluj 6.3.4 lub nowszy pakiet właściwy dla używanej edycji.
- Sprawdź, czy strona oznaczona poziomem dostępu innym niż Public nie jest widoczna dla gościa.
- Przejrzyj ustawienia Quix, konta edytorów i ostatnie zmiany treści.
- Jeżeli pojawiły się obce skrypty lub pliki, przeprowadź analizę logów i plików serwera.
Przy śladach wykonania obcego kodu przyda się osobny audyt i usunięcie skutków włamania. Aktualizacja zamyka opisane ścieżki, lecz nie usuwa zmian dokonanych przed jej instalacją.
Źródła
FAQ
