🚀 Вышли релизы безопасности Joomla 6.1.2 и 5.4.7!

Только что состоялся релиз Joomla 6.1.2 и Joomla 5.4.7. Это важные обновления безопасности и стабильности, устраняющие уязвимости в ядре и веб-службах, а также исправляющие накопившиеся ошибки.

🚨 Что закрыли разработчики?

✅ XSS (межсайтовый скриптинг): устранены уязвимости в управлении методами многофакторной аутентификации (MFA), компонентах com_templates и com_installer, языковых переопределениях, а также в макетах вывода изображений и модальных окон.

✅ Некорректный контроль доступа: исправлены ошибки прав доступа в конечных точках веб-служб (API) для com_media, com_privacy, com_fields, а также в компонентах контактов com_contact, модулей com_modules и процессов com_workflow.

🛠 Исправления ошибок и улучшения:
Помимо безопасности, в релизы вошло более 35 исправлений. Среди ключевых:
✅ CLI: разрешено обновление расширений напрямую через командную строку.
• Редакторы и UI: устранен баг с дублированием редактора CodeMirror, исправлена пагинация в модальных окнах и стилизованы успешные оповещения Joomla Alert Success.
✅ Патч регрессии: исправлена критическая ошибка, вызванная прошлыми обновлениями безопасности в версиях 5.4.6 и 6.1.1. •
✅ Установщик: исправлен сбой при переходе к БД, если пароль содержал пробелы по краям.

⚠️ Что делать администраторам сайтов?
Если ваши сайты работают на ветках Joomla 5.x или 6.x, настоятельно рекомендуется обновиться. Все исправления из ветки 5.4 автоматически перенесены в 6.1.

Вышли релизы безопасности Joomla 6.1.2 и Joomla 5.4.7 - Joomlaportal

#joomla #cms #безопасность

Слетели переопределения материалов после обновления до Joomla 5.4.7.
После выхода релиза безопасности на сайтах перестают использоваться кастомные переопределения материалов, которые выставлены в параметрах материала (article_layout). С безопасностью, видимо, чуть перестарались.

Об этом написано в issue на GitHub. Там же предложен временный фикс/хак, который вернёт всё как было и должен прожить до следующего релиза, где ожидаем, что баг пофиксят.

А пока что нужно  В файле components/com_content/src/Model/ArticleModel.php найти строку (добавлена ​​в #47752):

$data->metadata = new Registry($data->metadata);

и вставить этот блок непосредственно перед ней:

// TEMPORARY FIX for regression from #47752: article_layout is no longer
// forwarded to $data->params. Remove once fixed upstream.
if ($registry->get('article_layout')) {
    $data->params->set('article_layout', $registry->get('article_layout'));
}

И всё заработает как раньше.

@webtolkru

#joomla

В SW JProjects можно вытащить компонент в верхний уровень админского меню. Настраивается в плагине системном.

CVE-2026-49975: риск повышенной нагрузки на Apache

В AlmaLinux 9 и AlmaLinux 10 есть уязвимость CVE-2026-49975, связанная с обработкой HTTP/2 в Apache, а именно с модулем mod_http2.

При специально подготовленной атаке она может создавать повышенную нагрузку на веб-сервер. Это может привести к замедлению работы сайтов или временному отказу в обслуживании.

На серверах RISH используется Apache, поэтому рекомендуем обновить модуль mod_http2 и перезапустить службу Apache:

dnf update -y mod_http2
systemctl restart httpd

systemctl restart httpd — это не перезагрузка сервера. Команда перезапускает только Apache. Полный reboot системы для этой уязвимости не требуется.

WT Yandex map items v.2.3.2.1
Модуль выводит метки из различных компонентов на Яндекс.Карты. На данный момент выводятся только материалы Joomla. Используется API 3.0 Яндекс.Карт. Поддерживается Joomla 5 и старше.
Список изменений
- Всплывающие окна. Улучшен механизм открытия стандартных всплывающих окон Яндекса.
Подробнее

Вот как то так, too well done прожарки... )

WT LLMs в действии, при условии, что я SEO совсем не занимаюсь )

Дополнил документацию инструкциями по настройке и скриншотами.

https://web-tolk.ru/dev/components/wt-llms


@webtolkru

#joomla #llms #ai

Компонент Joomla 6: Генератор LLMs.txt.

Ещё один генератор ИИ-файлов llms.txt и llms-full.txt.

Основные особенности/возможности компонента:
- Генерация по стандарту: Автоматическое создание файла-визитки llms.txt и расширенной версии llms-full.txt с аннотированным списком материалов.
- Интеллектуальная работа с контентом: Компонент использует мета-описания (Meta Description) из статей и пунктов меню, превращая SEO-настройки сайта в качественный контекст для нейросетей.
- Просмотреть результат генерации файлов можно сразу в рабочей области компонента. После внесения корректив (через Настройки компонента. При отладке лучше открыть три вкладки в браузере: Настройка — Геренация/Превью — Список Материалов/Категории/Меню.) — проводим перегенерацию, смотрим результат до полной «победы».
- Автоматизация и безопасность: Синхронизация с sitemap.xml, группировка по категориям и автоматическое создание резервных копий (.bak) при каждой генерации.
- Гибкое управление: Возможность исключения определенных категорий и/или статей и/или пунктов меню, а также простая настройка через стандартную админпанель Joomla.
- Подробное руководство/справка: Пошаговая инструкция для пользователя в Настройках компонента для редакторов с базовым знанием администрирования Joomla.

👉 Важно учесть.
1️⃣ Компонент Генератор LLMs.txt изначально составляет базовый список ссылок на основе sitemap.xml и сверяется с ним на предмет: запрета индексации url в robots.txt, тегов noinex/nofollow. Это экономит время на проверку «закрыть от индексации», поскольку компонент генерации Sitemap.xml уже реализовал эту задачу. Посему, формирование ссылок для ИИ имеет комплексный подход, составление грамотного/валидного/релевантного sitemap.xml никто не отменял.

2️⃣ Тексты-описания ссылок формируются из Meta Description com_content (только компонент Материалы) и выбранных пользователем Меню сайта. Важно, чтобы Meta Description были уникальными и релевантными, соответствовали базовому seo. Составленные «на отшибись» Description для ИИ — «не катит» (впрочем, для поисковых систем они тоже «не канали»).

Разработчик - участник нашего сообщества Александр Кузнецов (@newvksan).

Страница расширения

@joomlafeed

#joomla #ии #ai

Вышла новая версия joomLab Article Slider 1.1.0

Модуль joomLab Article Slider загружает материалы динамически (ajax), что позволит максимально увеличить скорость загрузки страницы, если на ней используется много контентных модулей, а в каждом таком модуле выводится много материалов. 
Так же после загрузки модуля, любой пользователь Вашего сайта, может отфильтровать материалы  в модуле  по категориям и/или тегам.
Материалы в модуле выводятся в виде адаптивного слайд-шоу (используется swiper.js).

Что нового?

Добавлена возможность ajax фильтрации материалов по категориям и/или тегам в любом модуле на странице сайта

Скачать модуль > https://joomlab.ru/extentions/modules/joomlab-article-slider
Демо > https://demo.joomlab.ru/ajax-article

WT Max библиотека для интеграции с Joomla v.0.2.0.1.

Joomla-библиотека для API мессенджера MAX с системным плагином для настроек и диагностики подключения. Библиотека предназначена для разработчиков.

v.0.2.0.1. Что нового?
- Форматирование сообщений при отправке через событие. Добавлена поддержка форматирования текста сообщений при отправке их через триггер события onWtmaxSendMessage.

- Страница расширения
- GitHub

@webtolkru

#joomla #max #messenger

Вышел RISH 2.8.0: изоляция PHP, защита CRON и SFTP

Этот релиз появился после разбора реального взлома.

Сайт был скомпрометирован через уязвимость в установленной версии шаблона на базе Helix.

После очистки мы проверили, как злоумышленник пытался закрепиться на сервере.

Он добавил вредоносные задания в пользовательский CRON и собственный публичный ключ в authorized_keys. Это позволило бы вернуть доступ даже после удаления заражённых файлов.

Аудит показал, что нужно точнее разделить полномочия PHP-процесса и системного пользователя.

Главный принцип RISH 2.8.0:

PHP должен обслуживать сайт, но не управлять способом входа на сервер и не создавать себе постоянные задания.

Что изменилось?

🔒 Изоляция PHP-FPM

Для PHP-FPM добавлены ограничения systemd. Процесс сайта больше не получает доступ к домашним каталогам, системным устройствам, общим временным файлам, параметрам и журналам ядра, модулям, cgroups и механизмам повышения привилегий.

Ограничения действуют и для программ, запускаемых из PHP.

🔐 Учётные данные под контролем root

Пароли системного пользователя, MariaDB и администратора сайта перенесены из /home/<user>/.pass.txt в /root/rish/credentials/<user>.

Заодно вместо старого неочевидного формата появился понятный файл с отдельными секциями и комментариями.

⏱ Защита CRON

Изменять пользовательские CRON-задания теперь может только root. Существующие задания продолжают работать, а администратор по-прежнему управляет ими через меню RISH.

Код сайта больше не сможет самостоятельно назначить себе повторный запуск.

🔑 Защита SFTP

Публичные ключи перенесены из домашнего каталога пользователя в /etc/ssh/authorized_keys/<user> и принадлежат root.

При обновлении RISH переносит найденные ключи, не добавляя одинаковые строки, и показывает их отпечатки для проверки.

SFTP-сессии теперь работают только по ключу, без терминала, forwarding, пользовательских SSH-сценариев и произвольных команд.

🧩 Обновления расширений Joomla

В аудите Joomla появилась проверка доступных обновлений компонентов, модулей, плагинов и шаблонов.

RISH использует штатную Joomla CLI-команду и показывает установленную и доступную версии. Обновления автоматически не устанавливаются.

✅ Проверка и откат

Миграция выполняется последовательно. Новые параметры PHP-FPM и SSH проверяются до окончательного применения, а при ошибке RISH восстанавливает предыдущую конфигурацию.

Команда rish check получила проверки новой модели безопасности.

Подробно о причинах и всех изменениях RISH 2.8.0:

https://rish.su/blog/rish-2-8-0-izolyatsiya-php-zashchita-cron-i-sftp