Новости Joomla

‼️ 👩‍💻 Обновление безопасности для Tassos Framework!

‼️ 👩‍💻 Обновление безопасности для Tassos Framework!

7 января 2026 года греческому разработчику Тассосу Мариносу сообщили об уязвимости в системном плагине Tassos Framework, который входит в состав его расширений для Joomla.

⚠️ Проблема затрагивает следующие расширения:
- Convert Forms - конструктор форм обратной связи для Joomla
- EngageBox - конструктор всплывающих окон для Joomla
- Google Structured Data - пакет плагинов микроразметки для Joomla
- Advanced Custom Fields - пакет плагинов пользовательских полей (видео-сервисы, карты и иже с ними)
- Smile Pack - пакет расширений
- MailChimp Auto-Subscribe

Незамедлительно была проведена полная внутренняя проверка кода, внедрены дополнительные меры проверки и повышения безопасности, а также выпущены исправленные версии всех затронутых расширений. Проблема полностью решена.

👉 Суть уязвимости.
Уязвимость заключалась в том, как плагин Tassos Framework обрабатывал определенные AJAX-запросы через com_ajaxточку входа Joomla. При определенных условиях внутренняя функциональность фреймворка могла быть вызвана без надлежащих ограничений.

В худшем случае это могло позволить неавторизованному злоумышленнику читать файлы, доступные веб-серверу. Это также могло позволить удалять файлы с сервера при выполнении определенных условий.

При определенных обстоятельствах запросы к базе данных могли быть изменены для извлечения данных из базы данных Joomla. В совокупности эти возможности потенциально могли быть использованы для повышения уровня доступа и выполнения несанкционированного кода.

В настоящее время нет никаких доказательств того, что эта уязвимость была использована в реальных условиях.

Немедленно обновите расширения до безопасных версий (Joomla 4/5/6 | Joomla 3):
- Convert Forms - v5.1.1 / v.4.1.1
- EngageBox - v.7.1.1 / v,6,3,9
- Google Structured Data - v.6.1.1 / v.5.6.9
- Advanced Custom Fields - v.3.1.1 / v.2.8.10
- Smile Pack - v.2.1.1 / v.1.2.4.
- MailChimp Auto-Subscribe - v.5.1.1+ / v.5.0.4

Все указанные версии включают в себя релиз безопасности плагина Tassos Framework System Plugin v6.0.62.

Если у вас установлено несколько расширений Tassos, достаточно обновить только одно, чтобы применить патч. Однако всегда рекомендуется обновлять все расширения.

@joomlafeed

👩‍💻 Joomla включена в программу Google Summer of Code 2026.

👩‍💻 Joomla включена в программу Google Summer of Code 2026.

Google Summer of Code (GSoC) - программа компании Google, которая позволяет участникам программы под руководством опытных наставников писать код для организаций, занимающейся открытым исходным кодом. Joomla принимает участие в этой программе не в первый раз и в 2026 году снова включена в список GSoC. Для программы утверждается список "идей", воплотить которые должны участники под руководством наставников.

Проекты Joomla в рамках программы GSoC 2026.

Проект I: Ajax-бэкенд.
- Действия в административной панели без необходимости обновлять страницу.
- Автоматическое сохранение содержимого во время редактирования.
- Расширенный фильтр - поиск и фильтрация по пользовательским полям.

Проект II: Автоматизация рабочих процессов (workflow + task scheduler).
Joomla имеет функцию процессов и планировщика задач. Теперь эти две функции следует объединить, чтобы пользователь мог настраивать назначенные рабочие процессы таким образом, чтобы переходы выполнялись автоматически, с возможностью точного определения времени. Должна быть возможность создавать циклы или прямые запланированные рабочие процессы. Предполагается, что интерфейс должен учитывать хороший пользовательский опыт, удобство использования и современные стандарты доступности. Ожидается, что будет добавлен интерфейс для управления процессами и их расписанием на страницах категорий и материалов. Так же ожидается, что сторонние компоненты также смогут воспользоваться этим функционалом.

Проект III: Мультикатегории.
В настоящее время Joomla! не позволяет назначать один элемент нескольким категориям. Хотя система тегов часто используется в качестве замены, существует острая потребность в нативной поддержке нескольких категорий, чтобы привести Joomla! в соответствие с другими современными системами управления контентом.

Проект IV: Обучение с подкреплением на основе отзывов переводчиков.
Joomla собирается использовать автоматический перевод документации. В каждом языке есть свои специфические слова, характерные для Joomla. Предполагается обучать языковые модели, используя обратную связь от переводчиков, чтобы постоянно улучшать качество переводов и учитывать специфические языковые особенности Joomla.

Принять участие GSoC 2026
Подробнее о проектах Joomla GSoC 2026
Чат GSoC в Mattermost (международное сообщество Joomla)

Вышли релизы Joomla 6.0.3 и Joomla 5.4.3

Релиз Joomla 6.0.3 и Joomla 5.4.3

Проект Joomla рад сообщить о выпуске Joomla 6.0.3 и Joomla 5.4.3. Это релиз исправлений ошибок и улучшений для серии Joomla 6.0 и Joomla 5.4.

1   Вниз
0 Пользователей и 1 Гость просматривают эту тему.
  • 12 Ответов
  • 3031 Просмотров
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Заблокировать IP оказывающий сильную нагрузку на сайт
« : 03.03.2015, 14:30:31 »
В последнее время идет повышенная нагрузка на сайт. Идет превышение лимита хостера по оперативной памяти.

По логам посмотрела и заблокировала все подозрительные активности. Но, не получается заблокировать один IP - 95.167.189.67
Кто знает что это за зверь и как с ним бороться?

Блокировала внесением в черный список Securitycheck и прописала в htaccess.php

Код
[spoiler]
##
# @package		Joomla
# @copyright	Copyright (C) 2005 - 2014 Open Source Matters. All rights reserved.
# @license		GNU General Public License version 2 or later; see LICENSE.txt
##

##
# READ THIS COMPLETELY IF YOU CHOOSE TO USE THIS FILE!
#
# The line just below this section: 'Options +FollowSymLinks' may cause problems
# with some server configurations.  It is required for use of mod_rewrite, but may already
# be set by your server administrator in a way that dissallows changing it in
# your .htaccess file.  If using it causes your server to error out, comment it out (add # to
# beginning of line), reload your site in your browser and test your SEF url's.  If they work,
# it has been set by your server administrator and you do not need it set here.
##

<Limit GET POST PUT>
order allow,deny
allow from all
deny from 109.162.42.
deny from 134.249.49.
deny from 135.196.116.
deny from 157.55.39.
deny from 164.73.66.
deny from 173.13.41.
deny from 178.137.95.
deny from 183.90.189.
deny from 185.50.250.
deny from 188.165.15.
deny from 188.190.125.
deny from 189.209.78.
deny from 193.105.154.
deny from 193.176.147.
deny from 195.16.88.
deny from 195.3.144.
deny from 208.99.113.
deny from 31.7.187.
deny from 37.139.50.
deny from 46.118.152.
deny from 5.45.64.
deny from 64.120.216.
deny from 66.85.142.
deny from 70.39.145.
deny from 77.40.81.
deny from 80.38.45.
deny from 89.163.166.
deny from 91.105.69.
deny from 91.200.13.
deny from 91.207.117.
deny from 93.171.217.
deny from 94.159.161.
deny from 95.167.189.
deny from 95.167.189.67
deny from 95.211.111.
</LIMIT>


## Can be commented out if causes errors, see notes above.
Options +FollowSymLinks

## Mod_rewrite in use.

RewriteEngine On

## Begin - Rewrite rules to block out some common exploits.
# If you experience problems on your site block out the operations listed below
# This attempts to block the most common type of exploit `attempts` to Joomla!
#
# Block out any script trying to base64_encode data within the URL.
RewriteCond %{QUERY_STRING} base64_encode[^(]*\([^)]*\) [OR]
# Block out any script that includes a <script> tag in URL.
RewriteCond %{QUERY_STRING} (<|%3C)([^s]*s)+cript.*(>|%3E) [NC,OR]
# Block out any script trying to set a PHP GLOBALS variable via URL.
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
# Block out any script trying to modify a _REQUEST variable via URL.
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
# Return 403 Forbidden header and show the content of the root homepage
RewriteRule .* index.php [F]
#
## End - Rewrite rules to block out some common exploits.

## Begin - Custom redirects
#
# If you need to redirect some pages, or set a canonical non-www to
# www redirect (or vice versa), place that code here. Ensure those
# redirects use the correct RewriteRule syntax and the [R=301,L] flags.
#
## End - Custom redirects

##
# Uncomment following line if your webserver's URL
# is not directly related to physical file paths.
# Update Your Joomla! Directory (just / for root).
##

# RewriteBase /

## Begin - Joomla! core SEF Section.
#
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
#
# If the requested path and file is not /index.php and the request
# has not already been internally rewritten to the index.php script
RewriteCond %{REQUEST_URI} !^/index\.php
# and the request is for something within the component folder,
# or for the site root, or for an extensionless URL, or the
# requested URL ends with one of the listed extensions
RewriteCond %{REQUEST_URI} /component/|(/[^.]*|\.(php|html?|feed|pdf|vcf|raw))$ [NC]
# and the requested path and file doesn't directly match a physical file
RewriteCond %{REQUEST_FILENAME} !-f
# and the requested path and file doesn't directly match a physical folder
RewriteCond %{REQUEST_FILENAME} !-d
# internally rewrite the request to the index.php script
RewriteRule .* index.php [L]
#
## End - Joomla! core SEF Section.

[/spoiler]

Сайт у меня не коммерческий и просто для саморазвития. Подозреваю, что может быть взломали, потому как такое было некоторое время назад...
Записан
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #1 : 03.03.2015, 15:36:42 »
И еще такой вопрос, какова норма использования оперативной памяти для небольшого сайта?
То есть, я смотрю, что даже когда к сайту почти нет обращений, нагрузка составляет примерно 100 Мб.
Записан
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #2 : 04.03.2015, 08:40:51 »
Продолжая свой монолог... Вчера внесла в htaccess.php код - антилич. Нагрузка упала. Но, здесь также, от этого назойливого обращения с одного и того же IP я уже не зная что делать, просто перевела сайт в режим тех обслуживания и обращения от него прекратились (естественно как временная мера). Так что пока рано судить что именно являлось причиной повышенной нагрузки... Тем более с моим уровнем знаний. :)
Записан
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #3 : 04.03.2015, 15:19:07 »
Этот наглый IP вернулся, вместе с проблемой повышенной нагрузки. Помогите, что делать? Что не так прописала в файле?
Записан
*

ChaosHead

  • Гуру
  • 5242
  • 451 / 13
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #4 : 04.03.2015, 15:37:24 »
Вроде Ростелеком http://whois.domaintools.com/95.167.189.67

Цитировать
И еще такой вопрос, какова норма использования оперативной памяти для небольшого сайта?
На 1 посетителя каждая открываемая страничка от 10 до 30мб.

Не люблю я такие суровые хостинги на самом деле, где 3 калеки зайдёт, а уже лимиты срабатывают.
Записан
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #5 : 04.03.2015, 15:47:27 »
Вот в том и дело, что посещаемость на уровне плинтуса. Сейчас и 10 человек нет в сутки, просто некогда заниматься. А вот отдельные обращения гасят сайт. В частности этот IP.

Да и обращается всегда по каким-то странным url (откуда только берет).

Всего выделяется при текущем тарифном плане 128 Мб оперативки. В целом сайт держится, но некоторое время назад сайт отключал хостер из-за повышенной нагрузки... Причины тогда удалила. Вот теперь боюсь, что опять заблокируют.  :o
Записан
*

prostak1

  • Осваиваюсь на форуме
  • 34
  • 2 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #6 : 04.03.2015, 19:28:59 »
Цитата: minibelka от 04.03.2015, 15:19:07
Этот наглый IP вернулся, вместе с проблемой повышенной нагрузки. Помогите, что делать? Что не так прописала в файле?
блокировка в .htaccess

Текст файла:

Order deny,allow
deny from all

# Вся подсеть
Allow from 95.167.189.
Записан
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #7 : 11.03.2015, 11:27:49 »
Заблокировать получилось. Вот только вопрос в том, нагрузка на память все равно довольно большая. При том, что посещаемость на сайте не более 10 человек в сутки + поисковые боты. Или я не права?


Вот график нагрузки на память:
Спойлер
[свернуть]

От хостера сообщений не приходит, возможно, что это я уже параноиком стала...
Записан
*

wishlight

  • Гуру
  • 5078
  • 320 / 1
  • От 300 руб быстрый хостинг. Сервера.
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #8 : 11.03.2015, 11:32:52 »
На ник ру? Отключите лишние расширения php не нужные для сайта.
Записан
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #9 : 11.03.2015, 11:41:45 »
/administator закрыть для посторонних
Записан
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #10 : 11.03.2015, 13:18:34 »
Да, на ник ру. Вроде, уже все лишнее отключила. Из неосновных только реврайт мод - чтобы убрать index.php в адреcе.

А доступ к /administrator по IP закрыть?
Записан
*

minibelka

  • Осваиваюсь на форуме
  • 47
  • 3 / 0
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #11 : 11.03.2015, 13:34:56 »
Думается мне, раз были советы, то нагрузка большевата. Надо чистить плагины.
Записан
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: Заблокировать IP оказывающий сильную нагрузку на сайт
« Ответ #12 : 11.03.2015, 16:14:59 »
Цитата: minibelka от 11.03.2015, 13:18:34
А доступ к /administrator по IP закрыть?
Обычно закрывают для всех, а открывают для своих. Наверно потому что своих меньше, чем ботсеть. Немного подправил правило, именно для закрытия папки /administrator . Этот файл ложишь в папку /administrator
Цитата: prostak1 от 04.03.2015, 19:28:59
блокировка в .htaccess
Order deny,allow
deny from all

# Указываешь свой IP
Allow from твой IP

Можно также закрыть http авторизацией. В ПУ хостинга, ISP Manger, CPanel функционал запрета доступа на уровне кнопок.
« Последнее редактирование: 11.03.2015, 16:22:26 от draff »
Записан
1   Вверх
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Автоматическое сжатие фото при загрузке на сайт

Автор Amerikana

 Ответов: 13
Просмотров: 5727 		Последний ответ 30.06.2022, 11:52:23
от Nikita2705
Мультиязычность. При включении плагина "система - фильтр языков" сайт падает

Автор yuraok

 Ответов: 10
Просмотров: 7437 		Последний ответ 25.06.2022, 14:23:49
от ecolora
Сайт на Joomla 2.5.28 долго грузится - 1-2 минуты

Автор DanPel

 Ответов: 5
Просмотров: 2627 		Последний ответ 22.01.2020, 11:15:34
от SeBun
Неправильно открывается сайт

Автор totalcolor

 Ответов: 4
Просмотров: 1885 		Последний ответ 20.04.2019, 12:54:20
от draff
Прыгает/дергается/скачет сайт при внутренних переходах

Автор vegastk

 Ответов: 7
Просмотров: 4173 		Последний ответ 16.06.2018, 13:07:49
от voras