SP Property Finder 4.1.3 i starsze wersje mają podatność SQL Injection dostępną bez logowania. Atakujący może wykorzystać publiczną wyszukiwarkę nieruchomości lub widok mapy, aby odczytywać dane z bazy Joomla. Dotyczy to między innymi kont użytkowników, skrótów haseł, aktywnych sesji oraz sekretu witryny.
Problem otrzymał numer CVE-2026-78082 i oficjalną ocenę 9,3 Critical w CVSS 4.0. Producent usunął lukę w SP Property Finder 4.1.4, wydanym 10 września 2026 roku.
Pobierz SP Property Finder 4.1.4 z oficjalnej strony →
SP Property Finder jest rozszerzeniem komercyjnym, dlatego pobranie pakietu może wymagać zalogowania do konta JoomShaper z aktywną subskrypcją. Nie czekaj wyłącznie na komunikat w panelu Joomla. W dniu publikacji poprawki część stron producenta nadal pokazywała wersję 4.1.3, a osobny komunikat bezpieczeństwa nie został opublikowany.
Jeśli potrzebujesz pomocy z aktualizacją lub kontrolą kilku witryn, sprawdź opiekę serwisową Joomla. Jeżeli podejrzewasz, że dane mogły zostać odczytane albo na stronie pojawiły się obce konta i pliki, skorzystaj z usługi usuwania wirusów i skutków włamania.
Spis treści
- Co dokładnie było podatne?
- Odczyt bazy nie pozostawia zmian w plikach
- Druga luka zmieniała stronę w przekaźnik poczty
- Wersja 4.1.4 usuwa sześć problemów bezpieczeństwa
- Czy wersja 4.1.4 rzeczywiście naprawia SQL Injection?
- Jak bezpiecznie wykonać aktualizację?
- Brak powiadomienia nie oznacza, że aktualizacji nie ma
- Źródła
Co dokładnie było podatne?
Publiczna wyszukiwarka SP Property Finder przyjmowała parametry filtrowania nieruchomości, między innymi dane dotyczące lokalizacji, ceny i liczby sypialni. Część tych wartości trafiała do zapytania SQL bez prawidłowego cytowania lub rzutowania na oczekiwany typ.
Osobny problem występował przy sortowaniu wyników. Nazwa kolumny i kierunek sortowania nie były ograniczone do zamkniętej listy dozwolonych wartości. Podobny kod obsługiwał widok mapy, więc wyłączenie jednego modułu wyszukiwania nie musiało zamykać wszystkich dróg ataku.
Do wykorzystania luki nie było potrzebne konto, token CSRF ani działanie administratora. Wystarczała dostępna z internetu strona z wyszukiwaniem lub mapą ofert.
Odczyt bazy nie pozostawia zmian w plikach
Opisana luka służy przede wszystkim do odczytu danych. Nie zapisuje bezpośrednio pliku PHP i nie tworzy konta administratora, dlatego zwykłe porównanie plików może niczego nie wykazać.
Skutki nadal mogą być poważne. Odczyt tabeli sesji może ułatwić przejęcie aktywnej sesji administratora, a skróty haseł mogą zostać poddane łamaniu poza serwerem. Ujawniony sekret Joomla i klucze przechowywane w bazie również trzeba uznać za zagrożone.
Druga luka zmieniała stronę w przekaźnik poczty
Adres odbiorcy w formularzach rezerwacji i kontaktu z agentem był przekazywany przez przeglądarkę. Anonimowa osoba mogła go podmienić i zmusić witrynę do wysyłania wiadomości na wybrany adres. Ten problem opisuje CVE-2026-78303 z oceną 6,9.
Osobny CVE-2026-78083 dotyczył braku tokenu CSRF w formularzach rezerwacji i kontaktu. Pozwalał wykorzystać aktywną sesję użytkownika do wysłania niechcianego żądania.
Wersja 4.1.4 usuwa sześć problemów bezpieczeństwa
Po publikacji pełnych rekordów CVE zakres poprawki wygląda następująco:
| CVE | CVSS 4.0 | Problem |
|---|---|---|
| CVE-2026-78082 | 9,3 Critical | SQL Injection bez logowania w wyszukiwarce i widoku mapy |
| CVE-2026-78302 | 8,6 High | stored XSS dostępny bez logowania w widokach i listach zaplecza |
| CVE-2026-78083 | 7,1 High | brak tokenu CSRF w rezerwacji i kontakcie z agentem |
| CVE-2026-78084 | 6,9 Medium | brak kontroli dostępu przy zarządzaniu obrazami galerii |
| CVE-2026-78085 | 6,9 Medium | Path Traversal przy operacjach na plikach galerii |
| CVE-2026-78303 | 6,9 Medium | podmiana odbiorcy i manipulacja formularzem rezerwacji |
Wcześniejsza wersja artykułu opisywała pięć problemów na podstawie niepełnych danych. Aktualizacja z 28 września dodaje CVE-2026-78085, poprawia przypisanie CVE-2026-78083 i CVE-2026-78303 oraz uwzględnia oficjalne oceny CVSS.
Czy wersja 4.1.4 rzeczywiście naprawia SQL Injection?
W wersji 4.1.4 wartości filtrów są cytowane albo zamieniane na liczby, a pola sortowania są sprawdzane względem listy dozwolonych kolumn i kierunków.
Formularze nie przyjmują już adresu odbiorcy jako wiarygodnej wartości z przeglądarki. Komponent pobiera go z rekordu nieruchomości lub agenta w bazie i wymaga prawidłowego tokenu sesji.
Jak bezpiecznie wykonać aktualizację?
- Wykonaj pełną kopię plików i bazy danych.
- Sprawdź w zapleczu Joomla wersję komponentu SP Property Finder.
- Pobierz wersję 4.1.4 z oficjalnej strony pobierania JoomShaper. Jeżeli aktualizator Joomla jej nie pokazuje, zainstaluj pakiet ręcznie.
- Po instalacji potwierdź, że widoczna jest wersja 4.1.4 lub nowsza.
- Sprawdź wyszukiwarkę, mapę, formularz kontaktu z agentem, zapytanie o nieruchomość i dodawanie zdjęć.
- Przejrzyj konta administratorów, aktywne sesje, dzienniki żądań i historię wysyłki poczty.
Samo zainstalowanie poprawki nie cofnie wcześniejszego wycieku. Jeżeli podatna wersja była publicznie dostępna, rozważ wylogowanie aktywnych sesji, zmianę haseł administratorów oraz rotację sekretu Joomla i kluczy API. Zakres działań dopasuj do danych przechowywanych przez witrynę i okresu jej ekspozycji.
Brak powiadomienia nie oznacza, że aktualizacji nie ma
Wersja 4.1.4 została opublikowana bez osobnego komunikatu bezpieczeństwa. Zmiany znalazły się w changelogu na stronie pobierania, a inne podstrony JoomShaper przez pewien czas nadal pokazywały numer 4.1.3.
Automatyczny monit w Joomla także może pojawić się z opóźnieniem, zwłaszcza przy rozszerzeniu komercyjnym, nieaktualnym kluczu pobierania lub pamięci podręcznej serwera aktualizacji. Dlatego numer wersji trzeba sprawdzić ręcznie.
Źródła
FAQ
