Сегодня реанимировал сайт, хотя весь день планировал заниматься совершенно другим. Странный случай, похоже на взлом в сочетании с неумелым обращением с Joomla.
В декабре под новый год обновились до Joomla 5.4.2. Несколько дней назад стали возникать проблемы в работе сайта, а на выходные он просто лёг. Сегодня с утра посмотрел и очень удивился:
- в папке
- несколько дней назад жаловались на ошибку отображения картинки, судя по описанию ошибки туда попала вовсе не картинка
- есть признаки неудачной попытки восстановиться акибой
- часть файлов от Joomla 4.1.5
- часть файлов от квикстарта на Joomla 3.10.5, например, левый шаблон на Gantry, который не использовался на сайте
- огрызки архивов с неполным содержимым сайта
Сайт я восстановил, пароли сменил, но мне теперь интересно: а что же именно взломали: саму Joomla (тогда нужно сообщать в компетентным людям) или какое левое расширение (их почти нет) или кто-то всё-таки получил доступ к сайту и умело почистил логи, а потом неумело решил поставить "новый шаблон" с Jooma 3 на "старую" Joomla 5?
Поторопился я его восстанавливать, надо было сделать дамп к себе для изучения ))
@webtolkru
#joomla #webdev #security
В декабре под новый год обновились до Joomla 5.4.2. Несколько дней назад стали возникать проблемы в работе сайта, а на выходные он просто лёг. Сегодня с утра посмотрел и очень удивился:
- в папке
/api есть левые файлы, похожие на майнеры или шелл- несколько дней назад жаловались на ошибку отображения картинки, судя по описанию ошибки туда попала вовсе не картинка
- есть признаки неудачной попытки восстановиться акибой
- часть файлов от Joomla 4.1.5
- часть файлов от квикстарта на Joomla 3.10.5, например, левый шаблон на Gantry, который не использовался на сайте
- огрызки архивов с неполным содержимым сайта
Сайт я восстановил, пароли сменил, но мне теперь интересно: а что же именно взломали: саму Joomla (тогда нужно сообщать в компетентным людям) или какое левое расширение (их почти нет) или кто-то всё-таки получил доступ к сайту и умело почистил логи, а потом неумело решил поставить "новый шаблон" с Jooma 3 на "старую" Joomla 5?
Поторопился я его восстанавливать, надо было сделать дамп к себе для изучения ))
@webtolkru
#joomla #webdev #security
👍1
Forwarded from Joomla Feed (Sergey Tolkachyov)
‼️ 👩💻 Обновление безопасности для Tassos Framework!
7 января 2026 года греческому разработчику Тассосу Мариносу сообщили об уязвимости в системном плагине Tassos Framework, который входит в состав его расширений для Joomla.
⚠️ Проблема затрагивает следующие расширения:
- Convert Forms - конструктор форм обратной связи для Joomla
- EngageBox - конструктор всплывающих окон для Joomla
- Google Structured Data - пакет плагинов микроразметки для Joomla
- Advanced Custom Fields - пакет плагинов пользовательских полей (видео-сервисы, карты и иже с ними)
- Smile Pack - пакет расширений
- MailChimp Auto-Subscribe
👉 Суть уязвимости.
Уязвимость заключалась в том, как плагин Tassos Framework обрабатывал определенные AJAX-запросы через com_ajaxточку входа Joomla. При определенных условиях внутренняя функциональность фреймворка могла быть вызвана без надлежащих ограничений.
В худшем случае это могло позволить неавторизованному злоумышленнику читать файлы, доступные веб-серверу. Это также могло позволить удалять файлы с сервера при выполнении определенных условий.
При определенных обстоятельствах запросы к базе данных могли быть изменены для извлечения данных из базы данных Joomla. В совокупности эти возможности потенциально могли быть использованы для повышения уровня доступа и выполнения несанкционированного кода.
В настоящее время нет никаких доказательств того, что эта уязвимость была использована в реальных условиях.
Немедленно обновите расширения до безопасных версий (Joomla 4/5/6 | Joomla 3):
- Convert Forms - v5.1.1 / v.4.1.1
- EngageBox - v.7.1.1 / v,6,3,9
- Google Structured Data - v.6.1.1 / v.5.6.9
- Advanced Custom Fields - v.3.1.1 / v.2.8.10
- Smile Pack - v.2.1.1 / v.1.2.4.
- MailChimp Auto-Subscribe - v.5.1.1+ / v.5.0.4
Все указанные версии включают в себя релиз безопасности плагина Tassos Framework System Plugin v6.0.62.
Если у вас установлено несколько расширений Tassos, достаточно обновить только одно, чтобы применить патч. Однако всегда рекомендуется обновлять все расширения.
Новость в блоге Tassos.
@joomlafeed
#joomla #security
7 января 2026 года греческому разработчику Тассосу Мариносу сообщили об уязвимости в системном плагине Tassos Framework, который входит в состав его расширений для Joomla.
⚠️ Проблема затрагивает следующие расширения:
- Convert Forms - конструктор форм обратной связи для Joomla
- EngageBox - конструктор всплывающих окон для Joomla
- Google Structured Data - пакет плагинов микроразметки для Joomla
- Advanced Custom Fields - пакет плагинов пользовательских полей (видео-сервисы, карты и иже с ними)
- Smile Pack - пакет расширений
- MailChimp Auto-Subscribe
Незамедлительно была проведена полная внутренняя проверка кода, внедрены дополнительные меры проверки и повышения безопасности, а также выпущены исправленные версии всех затронутых расширений. Проблема полностью решена.
👉 Суть уязвимости.
Уязвимость заключалась в том, как плагин Tassos Framework обрабатывал определенные AJAX-запросы через com_ajaxточку входа Joomla. При определенных условиях внутренняя функциональность фреймворка могла быть вызвана без надлежащих ограничений.
В худшем случае это могло позволить неавторизованному злоумышленнику читать файлы, доступные веб-серверу. Это также могло позволить удалять файлы с сервера при выполнении определенных условий.
При определенных обстоятельствах запросы к базе данных могли быть изменены для извлечения данных из базы данных Joomla. В совокупности эти возможности потенциально могли быть использованы для повышения уровня доступа и выполнения несанкционированного кода.
В настоящее время нет никаких доказательств того, что эта уязвимость была использована в реальных условиях.
Немедленно обновите расширения до безопасных версий (Joomla 4/5/6 | Joomla 3):
- Convert Forms - v5.1.1 / v.4.1.1
- EngageBox - v.7.1.1 / v,6,3,9
- Google Structured Data - v.6.1.1 / v.5.6.9
- Advanced Custom Fields - v.3.1.1 / v.2.8.10
- Smile Pack - v.2.1.1 / v.1.2.4.
- MailChimp Auto-Subscribe - v.5.1.1+ / v.5.0.4
Все указанные версии включают в себя релиз безопасности плагина Tassos Framework System Plugin v6.0.62.
Если у вас установлено несколько расширений Tassos, достаточно обновить только одно, чтобы применить патч. Однако всегда рекомендуется обновлять все расширения.
Новость в блоге Tassos.
@joomlafeed
#joomla #security
Please open Telegram to view this post
VIEW IN TELEGRAM
❤2👍1
Forwarded from Joomla Feed (Sergey Tolkachyov)
В некоторых элементах JBZoo обнаружены уязвимости. Пройдитесь по своим сайтам и чекните их состояние. Возможно, для стабильности кое-кому потребуется микропатч.
Лучше заглянуть сейчас, чем потом героически тушить пожары. 🧯🔥 Это займёт пару секунд, а нервы сбережёт! 😇👍
👉 Проверить свой сайт можно на https://jbzo.ru/jbzoocheck.php
Сервис предоставлен Евгением Копыловым (@CB9TOIIIA)
@joomlafeed
#joomla #security
Please open Telegram to view this post
VIEW IN TELEGRAM
❤2
Forwarded from Joomla Feed (Sergey Tolkachyov)
‼️👩💻 Релиз безопасности Astroid 3.3.11 - шаблона-конструктора для Joomla.
14 часов назад (на момент публикации заметки) была обнаружена уязвимость в популярном шаблоне-конструкторе Astroid Framework. При атаке на сайт устанавливается бэкдор — системный плагин под названием plg_system_blpayload. Если вы обнаружили этот плагин на своем веб-сайте, значит, он скомпрометирован, и вам необходимо восстановить чистую резервную копию, созданную до установки плагина.
В рамках атаки (из-за которой и была обнаружена уязвимость) на сайт устанавливался плагин plg_system_blpayload, который при каждой загрузке страницы снаружи он скрытно связывается с (платформой для SEO, работающей на черном рынке (ссылку помещать не будем, просим поверить на слово). Получает список скрытых спам-ссылок (сайты азартных игр, фишинга, мошенничества), подобранный под ваш домен, затем внедряет эти ссылки в HTML-код вашей страницы непосредственно перед рендером - невидимые для посетителей, но полностью читаемые поисковыми роботами. Это называется "отравление SEO" ("отрпавление поисковой выдачи").
Однако, эта уязвимость может использоваться в других целях. Поэтому необходимо срочно проверить ваши сайты, где стоит Astroid Framework и обновить его до версии не ниже 3.3.11. Релиз безопасности выпущен 4 часа назад (на момент написания заметки).
Скачать релиз безопасности Astroid
@joomlafeed
#joomla #шаблон #astroid #security
14 часов назад (на момент публикации заметки) была обнаружена уязвимость в популярном шаблоне-конструкторе Astroid Framework. При атаке на сайт устанавливается бэкдор — системный плагин под названием plg_system_blpayload. Если вы обнаружили этот плагин на своем веб-сайте, значит, он скомпрометирован, и вам необходимо восстановить чистую резервную копию, созданную до установки плагина.
Уязвимость позволяет загружать файлы на сайт и в дальнейшем получить права администратора Joomla.
В рамках атаки (из-за которой и была обнаружена уязвимость) на сайт устанавливался плагин plg_system_blpayload, который при каждой загрузке страницы снаружи он скрытно связывается с (платформой для SEO, работающей на черном рынке (ссылку помещать не будем, просим поверить на слово). Получает список скрытых спам-ссылок (сайты азартных игр, фишинга, мошенничества), подобранный под ваш домен, затем внедряет эти ссылки в HTML-код вашей страницы непосредственно перед рендером - невидимые для посетителей, но полностью читаемые поисковыми роботами. Это называется "отравление SEO" ("отрпавление поисковой выдачи").
Однако, эта уязвимость может использоваться в других целях. Поэтому необходимо срочно проверить ваши сайты, где стоит Astroid Framework и обновить его до версии не ниже 3.3.11. Релиз безопасности выпущен 4 часа назад (на момент написания заметки).
Скачать релиз безопасности Astroid
@joomlafeed
#joomla #шаблон #astroid #security
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2🙏1
Forwarded from Joomla Feed (Dmitrijs Rekuns)
⚡️ Вышли релизы безопасности Joomla 6.0.4 и 5.4.4! 🚀
Вышли важные обновления для веток 5.x и 6.x, устраняющие 6 уязвимостей в ядре системы:
✅ Усиление ACL в компоненте com_ajax
✅ SQL-инъекция в эндпоинте веб-сервиса статей com_content
✅ XSS-вектор в режиме сравнения com_associations
✅ XSS-векторы в различных выводах заголовков материалов
✅ Ошибка, позволявшая произвольное удаление файлов в com_joomlaupdate
✅ Некорректная проверка доступа в эндпоинтах веб-сервисов
И ещё порядка 40 исправлений и улучшений!
👉 Читать новость
#joomla #security
Вышли важные обновления для веток 5.x и 6.x, устраняющие 6 уязвимостей в ядре системы:
✅ Усиление ACL в компоненте com_ajax
✅ SQL-инъекция в эндпоинте веб-сервиса статей com_content
✅ XSS-вектор в режиме сравнения com_associations
✅ XSS-векторы в различных выводах заголовков материалов
✅ Ошибка, позволявшая произвольное удаление файлов в com_joomlaupdate
✅ Некорректная проверка доступа в эндпоинтах веб-сервисов
И ещё порядка 40 исправлений и улучшений!
👉 Читать новость
#joomla #security
👍2👎1🔥1
Forwarded from Joomla для разработчиков
🚨 AJAX - главная «слепая зона» безопасности
В 2026 году продолжается волна атак на Joomla-сайты. Ботнеты массово сканируют сети в поиске одной и той же уязвимости — отсутствия проверки прав доступа в AJAX-обработчиках.
Почему com_ajax стал идеальным «черным ходом» для хакеров и как защитить свой код? Разбираем анатомию ошибки.
🔍 Как устроена уязвимость?
com_ajax создавался как легкий маршрутизатор, чтобы плагины и модули могли обрабатывать AJAX-запросы без создания собственных роутов.
Главный капкан архитектуры — com_ajax НЕ проверяет авторизацию за вас.
Разработчики часто путают три разных уровня защиты:
1. CSRF-токен (Session::checkToken()) — проверяет только то, что запрос отправлен с вашего сайта. Но он НЕ проверяет, кто его отправил.
2. Аутентификация ($user->guest) — проверяет, залогинен ли пользователь.
3. Авторизация (ACL / authorise()) — проверяет, имеет ли пользователь право выполнять действие.
💥 Реальные инциденты и уязвимости в Joomla:
• Astroid Framework: Отсутствие авторизации в AJAX-обработчиках позволяет гостям и пользователям с минимальными правами вызывать служебные функции.
• Novarian Framework: Аналогичные «слепые зоны» в AJAX-маршрутизации, открывающие доступ к выполнению кода без проверки ролей.
• JoomShaper Helix3 (Волна взломов AntonKill): Массовый дефейс Joomla-сайтов через неаутентифицированный AJAX-эндпоинт фреймворка шаблона.
• AcyMailing: Повышение привилегий из-за отсутствия проверки прав во внутреннем роутере (уязвимость затрагивает Joomla 9.11.0 – 10.8.1).
❌ Как делать НЕЛЬЗЯ (уязвимый код):
(Проверен только CSRF, но любой гость может удалить элемент).
✅ Как ДОЛЖНО быть (безопасный код):
🛠 Чек-лист базовой проверки:
• Если вы пишете код: Никогда не полагайтесь только на com_ajax. Всегда вызывайте $user->authorise() перед выполнением действия.
• Если вы администрируете сайты: Регулярно обновляйте фреймворки шаблонов (Astroid, Novarian, Helix) и сторонние расширения.
• Проверьте старый код: Наличие checkToken() в AJAX-хендлере не делает его безопасным!
📖 Подробную хронологию разбора этой уязвимости читайте в статье на mySites.guru.
💬 Проверяете ACL на каждом AJAX-вызове в своих компонентах и плагинах?
#joomla #php #security #webdev #cms #backend
В 2026 году продолжается волна атак на Joomla-сайты. Ботнеты массово сканируют сети в поиске одной и той же уязвимости — отсутствия проверки прав доступа в AJAX-обработчиках.
Почему com_ajax стал идеальным «черным ходом» для хакеров и как защитить свой код? Разбираем анатомию ошибки.
🔍 Как устроена уязвимость?
com_ajax создавался как легкий маршрутизатор, чтобы плагины и модули могли обрабатывать AJAX-запросы без создания собственных роутов.
Главный капкан архитектуры — com_ajax НЕ проверяет авторизацию за вас.
Разработчики часто путают три разных уровня защиты:
1. CSRF-токен (Session::checkToken()) — проверяет только то, что запрос отправлен с вашего сайта. Но он НЕ проверяет, кто его отправил.
2. Аутентификация ($user->guest) — проверяет, залогинен ли пользователь.
3. Авторизация (ACL / authorise()) — проверяет, имеет ли пользователь право выполнять действие.
💥 Реальные инциденты и уязвимости в Joomla:
• Astroid Framework: Отсутствие авторизации в AJAX-обработчиках позволяет гостям и пользователям с минимальными правами вызывать служебные функции.
• Novarian Framework: Аналогичные «слепые зоны» в AJAX-маршрутизации, открывающие доступ к выполнению кода без проверки ролей.
• JoomShaper Helix3 (Волна взломов AntonKill): Массовый дефейс Joomla-сайтов через неаутентифицированный AJAX-эндпоинт фреймворка шаблона.
• AcyMailing: Повышение привилегий из-за отсутствия проверки прав во внутреннем роутере (уязвимость затрагивает Joomla 9.11.0 – 10.8.1).
❌ Как делать НЕЛЬЗЯ (уязвимый код):
Session::checkToken() or die('Invalid Token');
$input = Factory::getApplication()->getInput();
$this->deleteItem($input->getInt('id'));(Проверен только CSRF, но любой гость может удалить элемент).
✅ Как ДОЛЖНО быть (безопасный код):
Session::checkToken() or die('Invalid Token');
$app = Factory::getApplication();
$user = $app->getIdentity();
if (!$user->authorise('core.manage', 'com_yourcomponent')) {
throw new Exception('Access Denied', 403);
}
$this->deleteItem($app-> getInput()->getInt('id'));🛠 Чек-лист базовой проверки:
• Если вы пишете код: Никогда не полагайтесь только на com_ajax. Всегда вызывайте $user->authorise() перед выполнением действия.
• Если вы администрируете сайты: Регулярно обновляйте фреймворки шаблонов (Astroid, Novarian, Helix) и сторонние расширения.
• Проверьте старый код: Наличие checkToken() в AJAX-хендлере не делает его безопасным!
📖 Подробную хронологию разбора этой уязвимости читайте в статье на mySites.guru.
💬 Проверяете ACL на каждом AJAX-вызове в своих компонентах и плагинах?
#joomla #php #security #webdev #cms #backend
mySites.guru
AJAX Endpoints: CMS Security Blind Spot | mySites.guru
Five AJAX and API vulnerabilities hit Joomla and WordPress in March 2026, all sharing one root cause. Here is what went wrong and how to protect your sites.
🙏1