Будете ли Вы переходить с Joomla 3.x на Joomla 4? - страница 2 - Joomla 6, Joomla 5 и Joomla 4: Общие вопросы

если у вас блог то да
а если что то иное портал доска или магазин то на четверке еще нет необходимого инструментария

В этих версиях обнаружены RCE (произвольное выполнение кода)
Приведу не критичное доказательство

И ?

Токены используются для защиты форм от спамовых атак. Однажды токен
был сгенерирован, система проверит почтовый запрос, чтобы узнать, он присутствует, в противном случае он сделает сеанс недействительным.

public static function getFormToken($forceNew = false)
	{
		$user    = \JFactory::getUser();
		$session = \JFactory::getSession();

		return ApplicationHelper::getHash($user->get('id', 0) . $session->getToken($forceNew));
	}

Не верю, иначе уже давно бы с помощью AJAX взломали бы все Joomla

ну 0day не так часто находят, осталось подождать когда на эту ветку наткнутся заинтересованные люди.

&format=raw&'. JUtility::getToken().'=1'

Не верю, иначе уже давно бы с помощью AJAX взломали бы все Joomla

Код

public static function getFormToken($forceNew = false)
	{
		$user    = \JFactory::getUser();
		$session = \JFactory::getSession();

		return ApplicationHelper::getHash($user->get('id', 0). $session->getToken($forceNew));
	}

Даже Google уже знает

Код

&format=raw&'. JUtility::getToken().'=1'

В com_media отдает 403, но почему форма выводится, не искал .

Код

// Access check.
if (!$user->authorise('core.manage', 'com_media') && (!$asset || (!$user->authorise('core.edit', $asset)
	&& !$user->authorise('core.create', $asset)
	&& count($user->getAuthorisedCategories($asset, 'core.create')) == 0)
	&& !($user->id == $author && $user->authorise('core.edit.own', $asset))))
{
	throw new JAccessExceptionNotallowed(JText::_('JERROR_ALERTNOAUTHOR'), 403);
}

Исправить , чтобы не подключало лишние плагины, строка 1007

Код

if( empty($parameters['username']) ) {
			return false;
}

com_media был для примера, он не причем! подойдет любой com_

RewriteCond %{QUERY_STRING} format [NC]
RewriteRule ^.*$ - [R=404,L]

RewriteCond %{QUERY_STRING} &format [NC]
RewriteRule ^.*$ - [R=404,L]

, объясните, пожалуйста, для чайников, кому стоит бояться и чего делать?

// OK, the credentials are built. Lets fire the onLogout event.
		$results = $this->triggerEvent('onUserLogout', array($parameters, $options));

		// Check if any of the plugins failed. If none did, success.
		if (!in_array(false, $results, true))
		{
			$options['username'] = $user->get('username');
			$this->triggerEvent('onUserAfterLogout', array($options));

			return true;
		}

обсуждать уязвимость,

Есть быстрофикс!

Запретите этот параметр GET запроса
/administrator/index.php?option=com_media&folder=&format
На какое то время поможет прикрыть форточку, но все таки задумайтесь над обновлением, по мимо этого бага там еще и роутинг кривой

В чем проблема поставить пароль на папку administrator?? Да еще и по белому списку IP. Никто лишний не будет ломиться и не страшны никакие уязвимости.
в корне хостинга
<Files .htpasswd>
   deny from all
</Files>
и файл с паролем.
----
в папке administrator
    <Files index.php>
    order deny,allow
    deny from all
    #паша
   allow from 199.0.99.12
   #маша
   allow from x.x.x.x
   #илья
   allow from x.x.x.x/x
   #михаил
   allow from x.x.x.x
   #обама
   allow from x.x.x.x
    </files>
   
AuthType Basic 
AuthName "Private zone. Only for administrator!"
AuthUserFile      /var/www/xxxxxx/data/account_name/.htpasswd 
require user admin root
-------------
ну Google подробнее расскажет.
и все. пусть хоть заломятся. даже если пароль сломают, то IP точно не подберут ))

Можно, но не у всех может оказаться апач нужной версии, в некоторых версиях есть атака на http basic auth

Применение тактики запугивания манюпаса набором из античата .
SSL в помощь .