Доступен для скачивания очередной релиз джумлы 3.8.8 - данное обновление направлено на улучшение безопасности и стабильности, исправляет баги предыдущих версий и поддерживает библиотеки в актуальности. Новая версия исправляет 9 найденных уязвимостей, фиксит больше 50 багов и дополнительно использует превентивные меры по защите от дальнейших атак. Рекомендуется всем владельцам сайтов обновиться до текущей версии в кратчайшие сроки, не забывайте только делать резервные копии перед установкой!
Что нового в Joomla 3.8.8 ?
Уязвимости, исправленные в джумла 3.8.8
- CVE-2018-11323 - низкий приоритет - нарушение групповой политики безопасности - подвержены версии от 2.5.0 до 3.7.8 - неадекватные проверки позволяли пользователям редактировать права старших
- CVE-2018-11322 - низкий приоритет - добавлены архивы PHP PHAR в чёрный список загрузок в медиа-менеджере - подвержены все версии джумлы - файлы расширения .phar могут в зависимости от настроек сервера исполнять php код
- CVE-2018-11327 - низкий приоритет - раскрытие информации о неопубликованных тегах - уязвимы джумла 3.1.0-3.8.0 - плохие проверки позволяли пользователям видеть имена тегов, которые еще не были опубликованы либо закрыты доступом
- CVE-2018-11325 - низкий приоритет - инсталлятор показывает пароль текстом локальному пользователю - уязвимость присутствует в джумлах с 3.0.0 до 3.8.7 - при установке и вводе пароля может возникнуть ситуация, когда возникнет ошибка на следующих шагах либо пользователь захочет вернуться на предыдущий шаг. Пароль будет отображен текстом ( не зашифрован) в поле подтверждения пароля.
- CVE-2018-11326 - низкий приоритет - XSS уязвимости и дополнительное усиление защиты - Joomla 3.0.0-3.8.7 - неправильная фильтрация вводимых данных могла привести к различным атакам на XSS уязвимость. Кроме этого, при стандартных настройках существовала вероятность атаки пользователем на стандартную группу администраторов.
- CVE-2018-11321 - низкий приоритет - RCE (удаленное исполнение кода) в компоненте com_fields - возможны атаки на Joomla 3.7.0-3.8.7 - плохая фильтрация позволяет пользователям с доступом создания кастомных полей манипулировать опциями фильтра и добавлять нефильтруемые значения, а то есть исполняемый код.
- CVE-2018-11324 - низкий приоритет - пересоздание удаленной сессии - уязвимы джумлы с 3.0.0 до 3.8.7 - долгоиграющий и запущенный в фоне процесс, такой как проверка на наличие обновлений ядра и расширений, мог создать эффект "состояния гонки", при котором сессия, которая должна быть удалена, создастся заново.
- CVE-2018-11328 - низкий приоритет - возможные XSS атаки в методе редиректа - подвержены Joomla 3.1.2 до 3.8.7 - при определённых обстоятельствах (редирект, содержащий в параметрах имя пользователя и пароль и когда Location: header не может быть использовано) недостаточная фильтрация компонента пользователей может привести к атаке межсайтового скриптинга
- CVE-2018-6378 - низкий приоритет - XSS уязвимость в медиа менеджере - уязвимы все версии джумлы - слабая фильтрация имён файлов и папок может привести к различным векторам атаки в медиа-менеджере
Подытожив весь список, можно заметить, что хоть количество уязвимостей и большое, но все они носят низкий приоритет и достаточно сложны в реализации, то есть произойдут при определённых условиях. Однако это не повод забивать на обновление, некоторые дыры имеют хороший потенциал, поэтому не стоит расслабляться.
Список изменений Joomla 3.8.8
Кроме аспектов безопасности были затронуты и функциональные изменения. Пофикшены различные баги, в том числе исправлена ошибка с циклическим редиректом на блогах категорий. Рассмотрим основные новшества:
- CodeMirror обновлен до версии 5.37 и были применены различные улучшения к визуальному редактору
- Добавлена поддержка PHP 7.3
- Отправка паролей по почте запрещена по умолчанию в новых установках
- Фильтр по без автора в компоненте материалов
- Улучшена обработка числовых имен групп пользователей
Пока особых проблем при обновлении не было замечено, но статья будет обязательно дополнена, если такие появятся. Пишите в комментариях, если обновление оказалось неудачным и обязательно расписывайте ошибку!