Вышло срочное обновление безопасности CMS Joomla 3.9.4 - настоятельно рекомендуется обновиться всем немедленно! В релизе исправлены 4 уязвимости, в том числе и высокого приоритета.
Рассмотрим детальнее, какой сюрприз преподнесло нам новое обновление джумлы.
Список закрытых уязвимостей Joomla 3.9.4
Данный патч сконцентрирован на латании дыр:
- CVE-2019-9713 - высокий приоритет - уязвимы версии джумлы с 3.8.0 до 3.9.4 - отсутствие проверки прав в демо-данных плагинов - неадекватная фильтрация входящих данных позволяла получать неавторизованный доступ.
- CVE-2019-9712 - низкий приоритет - подвержены версии Joomla 3.2.0-3.9.3 - XSS (межсайтовый скриптинг) в обработчике JSON компонента конфигураций com_config - обработчик пропускает валидацию вводимых данных, что может привести к эксплуатации XSS уязвимости
- CVE-2019-9711 - низкий приоритет - возможна атака на версии джумла 3.0.0-3.9.3 - XSS (межсайтовый скриптинг) в макете item_title - при редактировании макета заголовка нет экранирования, что может привести к осуществлению атаки
- CVE-2019-9714 - низкий приоритет - уязвимы Joomla с 3.2.0 до 3.9.3 - XSS (межсайтовый скриптинг) в поле формы медиа - в данном поле тоже не реализовано экранирование, что привело к возникновению уязвимости
Однако релиз кроме исправлений дыр безопасности привносит ещё изменение в функциональность и исправляет баги.
Список изменений джумла 3.9.4
- Улучшение логирования действий: кеширование и очистка/экспорт теперь записываются в журнал действий
- Кастомные модули: улучшение редактирования на фронте
- Упрощены пути макетов кастомных полей форм
- Компонент контактов: поле имени контакта перемещено в блок "Контактная информация"
- Избранные статьи: добавлен подзаголовок для статей
- Плагины Пользовательского соглашения и политики конфиденциальности: добавлены макеты для меток и сообщений
Рекомендуется незамедлительно установить данное обновление на все сайты Joomla. Обязательно делайте бекапы перед инсталляцией новых версий! По предварительным данным проблем и багов при обновлении не возникало, апдейт можно назвать стабильным. Если испытываете трудность, то пишите об этом в комментариях и материал будет дополнен решениями частых проблем.