Helix3: vulnerabilități critice de securitate în Joomla

Pe scurt

Despre ce este vorba?

Helix3 este framework-ul clasic de șabloane de la JoomShaper și rulează ca plugin de sistem, împreună cu un plugin AJAX (plg_ajax_helix3). În acest plugin AJAX au fost descoperite mai multe vulnerabilități care pot fi accesate prin punctul de acces standard com_ajax fără autentificare.

Sunt descrise, printre altele: accesul de scriere fără autentificare la fișiere (manipularea căii prin acțiunea save), ștergerea oricărui fișier (remove/remove_image), suprascrierea setărilor șablonului (import) și – după autentificare – o escaladare de privilegii până la execuția de cod, deoarece încărcarea de imagini accepta și fișiere .php. La acestea se adaugă probleme de tip XSS stocat și reflectat, precum și o cheie API Google Fonts lăsată în codul sursă.

Corecția este disponibilă din 29 iunie 2026, sub forma versiunii Helix3 3.1.1; între timp a apărut 3.1.2 – actualizați direct la aceasta. La momentul publicării, un număr CVE fusese solicitat, dar nu era încă atribuit; ca raportor este menționat Phil Taylor de la mySites.guru.

Sunt afectat? – Cum verificați

1. Deschideți zona de administrare

   Conectați-vă în administrarea Joomla (adresa se termină cu /administrator).

2. Mergeți la Plugin-uri

   Deschideți Sistem›Plugin-uri (alternativ Extensii›Gestionare›Gestionare).

3. Filtrați după „Helix3”

   Căutați Helix3 sau „System – Helix3 Framework” și citiți numărul de versiune afișat.

4. Evaluați versiunea

   Dacă versiunea este mai mică decât 3.1.2, actualizați – versiunile anterioare 3.1.1 sunt expuse unui risc acut.

Cum remediați vulnerabilitatea

1. Deschideți centrul de actualizări

   Mergeți la Sistem›Actualizare›Extensii și apăsați Verifică actualizările.

2. Actualizați Helix3

   Selectați intrarea Helix3 și apăsați Actualizează. Versiunea 3.1.2 este livrată prin serverul de actualizări JoomShaper.

3. Verificați rezultatul

   Controlați în Sistem›Plugin-uri dacă acum este afișată versiunea 3.1.2 (sau mai nouă).

Sursă oficială: via JoomShaper (account required). Asigurați-vă că aveți cel puțin Helix3 3.1.2 sau mai nouă.

Site-ul a fost deja atacat?

document.addEventListener("DOMContentLoaded", function(){
  document.title = "hacked by trenggalek6etar";
  document.body.innerHTML =
    '<div style="position:fixed;inset:0;'
    + 'background:#0a0a0a;z-index:2147483647">'
    + ' … HACKED BY trenggalek6etar … '
    + '</div>';
});

Aveți nevoie de ajutor la curățarea site-ului? Găsiți specialiști calificați în Directorul furnizorilor de servicii Joomla.

Restaurarea opțiunilor șablonului dintr-un backup al bazei de date

Helix3 stochează toate opțiunile șablonului (logo, culori, aspect, CSS/JS personalizat …) în format JSON, în coloana params a tabelului #__template_styles – câte un rând pentru fiecare stil. Dacă s-au pierdut în urma unui atac, a unei actualizări eșuate sau a unei resetări accidentale, rescrieți doar acea singură valoare params din backup, nu întregul tabel.

1. Identificați stilul activ

   Stilurile din frontend au client_id = 0, iar cel activ are în plus home = 1. Notați-i ID-ul.

2. Găsiți rândul din backup

   În dump, căutați rândul din #__template_styles cu același nume de șablon.

3. Salvați valoarea actuală

   Copiați mai întâi valoarea params din rândul activ.

4. Suprascrieți params

   Înlocuiți doar params din acel singur rând cu valoarea din backup.

5. Verificați

   Pagina principală se încarcă (HTTP 200), iar opțiunile sunt din nou vizibile.

SELECT id, template, home FROM #__template_styles WHERE client_id = 0;
UPDATE #__template_styles SET params = '<JSON din backup>' WHERE id = 12;

Operațiunea este reversibilă atât timp cât ați salvat vechea valoare params – iar înainte de orice modificare în baza de date, un backup este obligatoriu.

Surse & informații suplimentare

• Analiză și critica jurnalului de modificări – mySites.guru (Phil Taylor)Raportul inițial, cu detalii tehnice
• JoomShaper (producător)Actualizarea se obține prin sistemul de actualizări Joomla sau din contul JoomShaper

Prevalează întotdeauna informațiile oficiale ale producătorului respectiv. Această pagină rezumă neutru informațiile disponibile public.

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de