Jeśli używasz Articles Anywhere razem z Sourcerer, zaktualizuj oba rozszerzenia. Regular Labs opublikowało 31 października 2026 r. Articles Anywhere 20.1.1 oraz Sourcerer 17.0.1. Poprawka dotyczy wykonywania PHP w artykułach dołączanych do innych treści. Sama aktualizacja jednego dodatku nie wystarcza. Users Anywhere 3.0.1 usuwa oddzielny problem z ujawnianiem loginów i adresów e-mail.
Spis treści
- Co trzeba zaktualizować?
- Dlaczego Articles Anywhere i Sourcerer wymagają wspólnej poprawki?
- Users Anywhere: ustawienia prywatności muszą obowiązywać także w tagach
- Numery CVE są w komunikatach, ale brakuje publicznych opisów
- Pobierz aktualizacje i sprawdź efekt
- Wcześniejsze poprawki Regular Labs i pomoc przy aktualizacji
- Źródła
Co trzeba zaktualizować?
| Rozszerzenie | Wersja naprawcza | Problem |
|---|---|---|
| Articles Anywhere | 20.1.1 | PHP w dołączanym artykule; wymaga aktualnego Sourcerer. CVE-2026-102802. |
| Sourcerer | 17.0.1 | Ta sama luka; wymaga aktualnego Articles Anywhere. |
| Users Anywhere | 3.0.1 | Obchodzenie ustawień ukrywających loginy i e-maile. CVE-2026-102801. |
Wpisy bezpieczeństwa w changelogach nie są ograniczone oznaczeniem Pro. Poprawki należy uwzględnić zarówno dla Free, jak i Pro. Producent udostępnia te wydania dla Joomla 4, 5 i 6.
Dlaczego Articles Anywhere i Sourcerer wymagają wspólnej poprawki?
Articles Anywhere umieszcza treść jednego artykułu w drugim. Sourcerer może wykonywać PHP zapisane w treści, uwzględniając ustawienia zaufania. Poprawka ma zapewnić, że PHP z dołączanego artykułu nie zostanie wykonane, jeśli to właśnie ten artykuł nie jest zaufany. Samo umieszczenie go w zaufanej treści nie powinno nadawać mu takich uprawnień.
Ryzyko wymaga konkretnego połączenia rozszerzeń i treści. Dotyczy szczególnie witryn, na których mniej zaufane osoby mogą tworzyć lub zmieniać artykuły dołączane przez Articles Anywhere. Wykonanie obcego PHP może pozwolić działać z uprawnieniami procesu PHP witryny. Nie należy jednak opisywać tej ścieżki jako bezwarunkowego ataku anonimowego na każdą instalację.
Oba changelogi wprost wymagają aktualnej wersji drugiego rozszerzenia. Bez Sourcerer opisana ścieżka wykonania PHP przez ten dodatek nie występuje. Nadal zalecamy utrzymywanie aktualnego Articles Anywhere.
Users Anywhere: ustawienia prywatności muszą obowiązywać także w tagach
Users Anywhere 3.0.1 blokuje możliwość nadpisania przez tag ustawień, które wyłączają wyświetlanie nazw użytkowników i adresów e-mail. To problem ujawniania danych, odrębny od wykonywania PHP. Jeśli korzystasz z tego rozszerzenia, aktualizuj je niezależnie od tego, czy masz Sourcerer.
Numery CVE są w komunikatach, ale brakuje publicznych opisów
Na 2 listopada 2026 r. producent wskazuje CVE-2026-102802 oraz CVE-2026-102801. Podczas sprawdzania publiczne API CVE nie zwróciło ich rekordów (HTTP 404). Nie potwierdzamy więc oficjalnych ocen CVSS ani pełnych zakresów podatnych wersji. Brak publicznego rekordu nie podważa poprawek potwierdzonych w changelogach. Nie jest też dowodem, że luki nie były wykorzystywane.
Pobierz aktualizacje i sprawdź efekt
- Pobierz Articles Anywhere 20.1.1 Free → lub przejdź do strony pobierania Articles Anywhere.
- Pobierz Sourcerer 17.0.1 Free → lub przejdź do strony pobierania Sourcerer.
- Pobierz Users Anywhere 3.0.1 Free → lub przejdź do strony pobierania Users Anywhere.
Pakiety Pro pobierz ze swojego konta producenta z odpowiednim dostępem. Nie zastępuj wydania Pro pakietem Free tylko dlatego, że link jest dostępny bez logowania.
- Wykonaj kopię plików i bazy danych. Przy starszych instalacjach najpierw sprawdź aktualizację na kopii witryny.
- Zaktualizuj Articles Anywhere i Sourcerer w jednym oknie serwisowym, a Users Anywhere tam, gdzie jest zainstalowane.
- Sprawdź końcowe numery wszystkich pakietów. Powiadomienie w panelu Joomla nie zawsze pojawia się od razu; jeśli go brakuje, porównaj wersje z producentem i użyj właściwego pakietu ręcznie.
- Wyczyść cache i sprawdź strony z dołączanymi artykułami oraz danymi użytkowników. Poprawka może celowo zatrzymać PHP w niezaufanej treści. Nie przywracaj jego działania przez nadanie wszystkim autorom pełnego zaufania.
Ogranicz prawa edycji do potrzebnych kont i przejrzyj nietypowe zmiany w artykułach. Te pakiety nie są aktualizacją dla Joomla 3. Nie instaluj ich na tej gałęzi; sprawdź zgodną ścieżkę migracji i możliwość wyłączenia wykonywania PHP z treści.
Wcześniejsze poprawki Regular Labs i pomoc przy aktualizacji
To kolejna, odrębna poprawka. Zobacz także wcześniejszy artykuł o Modules Anywhere i Tabs & Accordions. Zainstalowanie tamtych wydań nie zastępuje obecnych aktualizacji.
Jeśli potrzebujesz pomocy w sprawdzeniu zależności i aktualizacji witryny, skorzystaj z opieki serwisowej Joomla. Gdy znajdziesz nieznany kod lub inne ślady włamania, sama aktualizacja nie usuwa skutków incydentu. W takim przypadku potrzebna jest analiza i usunięcie złośliwego kodu.
Źródła
FAQ
