Новости Joomla

‼️ 👩‍💻 Обновление безопасности для Tassos Framework!

‼️ 👩‍💻 Обновление безопасности для Tassos Framework!

7 января 2026 года греческому разработчику Тассосу Мариносу сообщили об уязвимости в системном плагине Tassos Framework, который входит в состав его расширений для Joomla.

⚠️ Проблема затрагивает следующие расширения:
- Convert Forms - конструктор форм обратной связи для Joomla
- EngageBox - конструктор всплывающих окон для Joomla
- Google Structured Data - пакет плагинов микроразметки для Joomla
- Advanced Custom Fields - пакет плагинов пользовательских полей (видео-сервисы, карты и иже с ними)
- Smile Pack - пакет расширений
- MailChimp Auto-Subscribe

Незамедлительно была проведена полная внутренняя проверка кода, внедрены дополнительные меры проверки и повышения безопасности, а также выпущены исправленные версии всех затронутых расширений. Проблема полностью решена.

👉 Суть уязвимости.
Уязвимость заключалась в том, как плагин Tassos Framework обрабатывал определенные AJAX-запросы через com_ajaxточку входа Joomla. При определенных условиях внутренняя функциональность фреймворка могла быть вызвана без надлежащих ограничений.

В худшем случае это могло позволить неавторизованному злоумышленнику читать файлы, доступные веб-серверу. Это также могло позволить удалять файлы с сервера при выполнении определенных условий.

При определенных обстоятельствах запросы к базе данных могли быть изменены для извлечения данных из базы данных Joomla. В совокупности эти возможности потенциально могли быть использованы для повышения уровня доступа и выполнения несанкционированного кода.

В настоящее время нет никаких доказательств того, что эта уязвимость была использована в реальных условиях.

Немедленно обновите расширения до безопасных версий (Joomla 4/5/6 | Joomla 3):
- Convert Forms - v5.1.1 / v.4.1.1
- EngageBox - v.7.1.1 / v,6,3,9
- Google Structured Data - v.6.1.1 / v.5.6.9
- Advanced Custom Fields - v.3.1.1 / v.2.8.10
- Smile Pack - v.2.1.1 / v.1.2.4.
- MailChimp Auto-Subscribe - v.5.1.1+ / v.5.0.4

Все указанные версии включают в себя релиз безопасности плагина Tassos Framework System Plugin v6.0.62.

Если у вас установлено несколько расширений Tassos, достаточно обновить только одно, чтобы применить патч. Однако всегда рекомендуется обновлять все расширения.

@joomlafeed

0 Пользователей и 1 Гость просматривают эту тему.
  • 2 Ответов
  • 2264 Просмотров
*

anatoly

  • Новичок
  • 6
  • 0 / 0
В настройках стоит  - Количество секунд перед разрешением добавления нового голоса: 86400. По идее в течение суток не дожно допускаться повторного голосования.
на самом деле фигня какая то. Обновляю страницу и снова могу голосовать... Хоть сколько. Помогите советом, если кто в курсе проблемы. )) Может я чего то недопонимаю в настройках?
*

anatoly

  • Новичок
  • 6
  • 0 / 0
Эх. Хоть бы кто нибудь сказал. Этот счетчик в принципе у кого нибудь работает?
Если да, буду думать. Если нет. Тоже буду думать, только в другом направлении. ^-^
*

anatoly

  • Новичок
  • 6
  • 0 / 0
Если кому интересно.
Я не силен в PHP, но тем не менее, в чем разобрался, поделюсь.
Похоже эта функция задумывалась, но реально не реализована. Во всяком случае я так и не нашел никакой программной связи этой настройки, кроме создания куки,с указанным временем действия. Назначение этой куки осталось загадкой.  Нигде в тексте я не нашел , как она используется.
Пошел по пути написания небольшого кусочка кода в файл -  Savant2_Plugin_ratableRating.php
между метками все выглядит так.   
# Allow rating?
................
// Print stars
( вместо многоточия вставить, заменив там все...)

$allowRating = false;
if(($voted && $mtconf->get('rate_once') == '1')
||
($mtconf->get('user_rating') == '-1')
||
($mtconf->get('user_rating') == '1' && $my->id < 1)
||
($mtconf->get('user_rating') == '2' && $my->id > 0 && $my->id == $link->user_id)
||
($mtconf->get('user_rating') == '2' && $my->id == 0)
||
($link->user_id == $my->id && !$mtconf->get('allow_owner_rate_own_listing'))) $html .= JText::_( 'Rating' );
                  
else {
$html .= JText::_( 'Rate this listing' );
$t = $database->loadResultArray();       
$t_rez = $t[sizeof($t)-1];      
if ((time() - strtotime($t_rez)) > $mtconf->get('hit_lag')) $allowRating = true; 
#echo (time() - strtotime($t_rez));                
 }
$html .= '</div>';

Если раскомментирвать строку с echo, то рядом со звездами можно увидеть счетчик времени в том же формате, что и в строке настройки мосета, который покажет время от последнего голосования этого пользователя за эту позицию. Типа отладки ))

В настройках отключил голосование вместе с отзывом, так что голосовать теперь можно только щелкая по звездам. Отзыв обычным способом. И выставил многократное голосование для пользователя.Mosets tree версии 2.1.3.
Теперь, пока не истечет необходимое время от последнего голосования, голосовать нельзя. Что и задумывалось.  ^-^
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться