Новости Joomla

‼️ 👩‍💻 Обновление безопасности для Tassos Framework!

‼️ 👩‍💻 Обновление безопасности для Tassos Framework!

7 января 2026 года греческому разработчику Тассосу Мариносу сообщили об уязвимости в системном плагине Tassos Framework, который входит в состав его расширений для Joomla.

⚠️ Проблема затрагивает следующие расширения:
- Convert Forms - конструктор форм обратной связи для Joomla
- EngageBox - конструктор всплывающих окон для Joomla
- Google Structured Data - пакет плагинов микроразметки для Joomla
- Advanced Custom Fields - пакет плагинов пользовательских полей (видео-сервисы, карты и иже с ними)
- Smile Pack - пакет расширений
- MailChimp Auto-Subscribe

Незамедлительно была проведена полная внутренняя проверка кода, внедрены дополнительные меры проверки и повышения безопасности, а также выпущены исправленные версии всех затронутых расширений. Проблема полностью решена.

👉 Суть уязвимости.
Уязвимость заключалась в том, как плагин Tassos Framework обрабатывал определенные AJAX-запросы через com_ajaxточку входа Joomla. При определенных условиях внутренняя функциональность фреймворка могла быть вызвана без надлежащих ограничений.

В худшем случае это могло позволить неавторизованному злоумышленнику читать файлы, доступные веб-серверу. Это также могло позволить удалять файлы с сервера при выполнении определенных условий.

При определенных обстоятельствах запросы к базе данных могли быть изменены для извлечения данных из базы данных Joomla. В совокупности эти возможности потенциально могли быть использованы для повышения уровня доступа и выполнения несанкционированного кода.

В настоящее время нет никаких доказательств того, что эта уязвимость была использована в реальных условиях.

Немедленно обновите расширения до безопасных версий (Joomla 4/5/6 | Joomla 3):
- Convert Forms - v5.1.1 / v.4.1.1
- EngageBox - v.7.1.1 / v,6,3,9
- Google Structured Data - v.6.1.1 / v.5.6.9
- Advanced Custom Fields - v.3.1.1 / v.2.8.10
- Smile Pack - v.2.1.1 / v.1.2.4.
- MailChimp Auto-Subscribe - v.5.1.1+ / v.5.0.4

Все указанные версии включают в себя релиз безопасности плагина Tassos Framework System Plugin v6.0.62.

Если у вас установлено несколько расширений Tassos, достаточно обновить только одно, чтобы применить патч. Однако всегда рекомендуется обновлять все расширения.

@joomlafeed

0 Пользователей и 1 Гость просматривают эту тему.
  • 1 Ответов
  • 1883 Просмотров
*

JediG

  • Новичок
  • 7
  • 0 / 0
На сайте www.android55.ru в браузере Chrome не работает кнопка "Уведомлять меня". Точнее она работает, но вместо нужной формы открывается страница с адресом http://www.android55.ru/index.php и вот с таким текстом:
Код
<html><head><meta http-equiv="refresh" content="0;http://www.android55.ru/index.php?page=shop.waiting_list&product_id=1659&option=com_virtuemart&Itemid=6" /></head><body></body></html>

Здесь мы видим правильную ссылку ttp://www.android55.ru/index.php?page=shop.waiting_list&product_id=1659&option=com_virtuemart&Itemid=6 окруженную тэгами. В чем проблема понять не могу, php для меня темный лес. Код который это делает вот тут:
//docs/administrator/components/com_virtuemart/classes/ps_cart.php

Код
		// Perform notification of out of stock items
if (@$request_stock) {
Global $notify;
$_SESSION['notify'] = array();
$_SESSION['notify']['idx'] = 0;
$k=0;
$notify = $_SESSION['notify'];
foreach($request_stock as $request) {
$_SESSION['notify'][$k]["prod_id"] = $request['product_id'];
$_SESSION['notify'][$k]["quantity"] = $request['quantity'];
$_SESSION['notify']['idx']++;
$k++;
}
if( vmIsXHR() ) {
$GLOBALS['vm_mainframe']->scriptRedirect( $sess->url( 'index.php?page=shop.waiting_list&product_id='.$product_id, true, false ) );
} else {
vmRedirect( $sess->url( 'index.php?page=shop.waiting_list&product_id='.$product_id, true, false ) );
}
}

return True;
}

В любом другом браузере кроме Chrome все работает корректно. Куда рыть, что делать?
*

JediG

  • Новичок
  • 7
  • 0 / 0
Проблема кстати до сих пор не решена и что еще хуже возникла новая.
На днях новая беда, которую игнорировать никак нельзя. После завершения регистрации вместо страницы завершения имеем:
Код
<html><head><meta http-equiv="refresh" content="0;http://www.android55.ru/index.php?page=shop.index&option=com_virtuemart&Itemid=6" /></head><body></body></html>

Ссылке в этом остатке корда правильные, но вероятно как-то криво сформирована переадресация. Меня например знак / в конце ссылки смущает.

Вот вижу что у Chrome какая-то проблема с meta http-equiv="refresh" была и вероятно есть
https://code.google.com/p/chromium/issues/detail?id=20117

В IE и Firefox все пашет. Проблема в Chrome и Яндекс браузере, а это существенная доля посещений.

Но отчего-то нет никаких обсуждений этой темы, а это вероятно значит что это все-таки моя проблема. Что не так сообразить не могу, куда рыть не знаю. Может подскажите куда капать?  :(
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Не корректно работает навигатор сайта (breadcrumbs) - дублирование главной страницы.

Автор SliderShadow

Ответов: 4
Просмотров: 3290
Последний ответ 19.05.2015, 17:43:08
от фунтик
Google chrome и VirtueMart = проблемы

Автор varenik

Ответов: 23
Просмотров: 8375
Последний ответ 04.12.2014, 23:23:08
от infamous
Widgetkit не работает с VirtueMart

Автор Elena_S

Ответов: 6
Просмотров: 3632
Последний ответ 02.02.2014, 00:01:20
от avioline
Не работает VirtueMart

Автор maximmus

Ответов: 3
Просмотров: 2147
Последний ответ 18.01.2014, 23:20:39
от maximmus
Не работает пэйджинг в товарах (virtuemart )

Автор Niolta

Ответов: 9
Просмотров: 1780
Последний ответ 19.09.2013, 01:04:53
от varX