Helix3-skabelonframework – kritiske sikkerhedssårbarheder

Kort fortalt

Hvad handler det om?

Helix3 er JoomShapers klassiske skabelonframework og kører som et systemplugin sammen med et AJAX-plugin (plg_ajax_helix3). I dette AJAX-plugin er der fundet flere sårbarheder, som kan nås via standardkaldet com_ajax uden login.

Konkret beskrives blandt andet: skriveadgang til filer uden autentificering (manipulation af filstier via handlingen save), sletning af vilkårlige filer (remove/remove_image), overskrivning af skabelonindstillinger (import) og – efter login – rettighedseskalering helt til kodeudførelse, fordi billedupload også accepterede .php-filer. Dertil kommer lagret og reflekteret XSS samt en Google Fonts-API-nøgle, der er efterladt i kildekoden.

Rettelsen har været tilgængelig siden den 29. juni 2026 som Helix3 3.1.1; siden er 3.1.2 udkommet – opdater direkte til den version. Der var anmodet om et CVE-nummer, men det var endnu ikke tildelt på offentliggørelsestidspunktet; som indberetter nævnes Phil Taylor fra mySites.guru.

Er jeg berørt? – Sådan tjekker du det

1. Åbn administrationen

   Log ind i Joomla-administrationen (adressen slutter på /administrator).

2. Gå til Plugins

   Åbn System›Plugins (alternativt Udvidelser›Håndter›Håndter).

3. Filtrer efter »Helix3«

   Søg efter Helix3 eller »System – Helix3 Framework«, og aflæs det versionsnummer, der vises.

4. Vurder versionen

   Er versionen lavere end 3.1.2, skal du opdatere – versioner før 3.1.1 er akut sårbare.

Sådan lukker du sårbarheden

1. Åbn opdateringscentret

   Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.

2. Opdater Helix3

   Marker posten Helix3, og klik på Opdater. Version 3.1.2 leveres via JoomShapers opdateringsserver.

3. Kontroller resultatet

   Kontroller under System›Plugins, at der nu står 3.1.2 (eller nyere).

Officiel kilde: via JoomShaper (account required). Sørg for at have mindst Helix3 3.1.2 eller nyere.

Er hjemmesiden allerede blevet hacket?

document.addEventListener("DOMContentLoaded", function(){
  document.title = "hacked by trenggalek6etar";
  document.body.innerHTML =
    '<div style="position:fixed;inset:0;'
    + 'background:#0a0a0a;z-index:2147483647">'
    + ' … HACKED BY trenggalek6etar … '
    + '</div>';
});

Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.

Gendan skabelonindstillingerne fra en databasebackup

Helix3 gemmer alle skabelonindstillinger (logo, farver, layout, custom CSS/JS …) som JSON i kolonnen params i tabellen #__template_styles – én række pr. stilart. Er de gået tabt ved et hack, en mislykket opdatering eller en utilsigtet nulstilling, skriver du kun denne ene params-værdi tilbage fra en databasebackup – ikke hele tabellen.

1. Find den aktive stilart

   Stilarter til frontend har client_id = 0; den aktive har desuden home = 1. Noter dens ID.

2. Find rækken i backuppen

   Find den række i #__template_styles i dumpen, der har samme skabelonnavn.

3. Gem den nuværende værdi

   Kopier først den aktuelle params-værdi i den aktive række.

4. Overskriv params

   Erstat kun params i netop den række med værdien fra backuppen.

5. Kontroller

   Forsiden indlæses (HTTP 200), og indstillingerne er synlige igen.

SELECT id, template, home FROM #__template_styles WHERE client_id = 0;
UPDATE #__template_styles SET params = '<JSON fra backuppen>' WHERE id = 12;

Handlingen kan fortrydes, så længe du har gemt den gamle params-værdi – og før enhver ændring i databasen skal du tage en backup.

Kilder & mere information

• Analyse og kritik af changeloggen – mySites.guru (Phil Taylor)Oprindelig indberetning med tekniske detaljer
• JoomShaper (producent)Hent opdateringen via Joomlas opdateringsfunktion eller din JoomShaper-konto

Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.

Lignende sårbarheder

Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.

Støtter af denne side

htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:

Hostingudbyder & community

FC-Hosting

Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.

fc-hosting.de

Initiativtager & drift

Website-Bereinigung.de

Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.

website-bereinigung.de

Bauschild & Service

Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.

defendersoft.cz

onlineweg.de

Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.

onlineweg.de

Criadero

Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

It-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.

jahnedv.de

IsariConsult

Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.

isari-consult.de