Helix3: vulnerabilități critice de securitate în Joomla

Pe scurt

Despre ce este vorba?

Helix3 este framework-ul clasic de șabloane de la JoomShaper și rulează ca plugin de sistem, împreună cu un plugin AJAX (plg_ajax_helix3). În acest plugin AJAX au fost descoperite mai multe vulnerabilități care pot fi accesate prin punctul de acces standard com_ajax fără autentificare.

Sunt descrise, printre altele: accesul de scriere fără autentificare la fișiere (manipularea căii prin acțiunea save), ștergerea oricărui fișier (remove/remove_image), suprascrierea setărilor șablonului (import) și – după autentificare – o escaladare de privilegii până la execuția de cod, deoarece încărcarea de imagini accepta și fișiere .php. La acestea se adaugă probleme de tip XSS stocat și reflectat, precum și o cheie API Google Fonts lăsată în codul sursă.

Corecția este disponibilă din 29 iunie 2026, sub forma versiunii Helix3 3.1.1; între timp a apărut 3.1.2 – actualizați direct la aceasta. La momentul publicării, un număr CVE fusese solicitat, dar nu era încă atribuit; ca raportor este menționat Phil Taylor de la mySites.guru.

Sunt afectat? – Cum verificați

1. Deschideți zona de administrare

   Conectați-vă în administrarea Joomla (adresa se termină cu /administrator).

2. Mergeți la Plugin-uri

   Deschideți Sistem›Plugin-uri (alternativ Extensii›Gestionare›Gestionare).

3. Filtrați după „Helix3”

   Căutați Helix3 sau „System – Helix3 Framework” și citiți numărul de versiune afișat.

4. Evaluați versiunea

   Dacă versiunea este mai mică decât 3.1.2, actualizați – versiunile anterioare 3.1.1 sunt expuse unui risc acut.

Cum remediați vulnerabilitatea

1. Deschideți centrul de actualizări

   Mergeți la Sistem›Actualizare›Extensii și apăsați Verifică actualizările.

2. Actualizați Helix3

   Selectați intrarea Helix3 și apăsați Actualizează. Versiunea 3.1.2 este livrată prin serverul de actualizări JoomShaper.

3. Verificați rezultatul

   Controlați în Sistem›Plugin-uri dacă acum este afișată versiunea 3.1.2 (sau mai nouă).

Sursă oficială: via JoomShaper (account required). Asigurați-vă că aveți cel puțin Helix3 3.1.2 sau mai nouă.

Site-ul a fost deja atacat?

document.addEventListener("DOMContentLoaded", function(){
  document.title = "hacked by trenggalek6etar";
  document.body.innerHTML =
    '<div style="position:fixed;inset:0;'
    + 'background:#0a0a0a;z-index:2147483647">'
    + ' … HACKED BY trenggalek6etar … '
    + '</div>';
});

Aveți nevoie de ajutor la curățarea site-ului? Găsiți specialiști calificați în Directorul furnizorilor de servicii Joomla.

Restaurarea opțiunilor șablonului dintr-un backup al bazei de date

Helix3 stochează toate opțiunile șablonului (logo, culori, aspect, CSS/JS personalizat …) în format JSON, în coloana params a tabelului #__template_styles – câte un rând pentru fiecare stil. Dacă s-au pierdut în urma unui atac, a unei actualizări eșuate sau a unei resetări accidentale, rescrieți doar acea singură valoare params din backup, nu întregul tabel.

1. Identificați stilul activ

   Stilurile din frontend au client_id = 0, iar cel activ are în plus home = 1. Notați-i ID-ul.

2. Găsiți rândul din backup

   În dump, căutați rândul din #__template_styles cu același nume de șablon.

3. Salvați valoarea actuală

   Copiați mai întâi valoarea params din rândul activ.

4. Suprascrieți params

   Înlocuiți doar params din acel singur rând cu valoarea din backup.

5. Verificați

   Pagina principală se încarcă (HTTP 200), iar opțiunile sunt din nou vizibile.

SELECT id, template, home FROM #__template_styles WHERE client_id = 0;
UPDATE #__template_styles SET params = '<JSON din backup>' WHERE id = 12;

Operațiunea este reversibilă atât timp cât ați salvat vechea valoare params – iar înainte de orice modificare în baza de date, un backup este obligatoriu.

Surse & informații suplimentare

• Analiză și critica jurnalului de modificări – mySites.guru (Phil Taylor)Raportul inițial, cu detalii tehnice
• JoomShaper (producător)Actualizarea se obține prin sistemul de actualizări Joomla sau din contul JoomShaper

Prevalează întotdeauna informațiile oficiale ale producătorului respectiv. Această pagină rezumă neutru informațiile disponibile public.

Vulnerabilități similare

Alte extensii cu vulnerabilități comparabile. Verificați dacă vreuna dintre ele este instalată pe site-ul dumneavoastră.

Susținătorii acestui site

htprotect.org este un serviciu de informare gratuit și independent de producători. Este susținut de:

Găzduire & comunitate

FC-Hosting

Furnizor german de găzduire Joomla, cu suport activ pentru comunitate – a descoperit primul atac asupra vulnerabilității JCE.

fc-hosting.de

Inițiator & operator

Website-Bereinigung.de

Specializată în curățarea, întreținerea și securizarea site-urilor Joomla și WordPress.

website-bereinigung.de

Bauschild & Service

Producție și montaj de panouri de șantier, împrejmuiri de șantier și soluții de fațadă – inclusiv design și vizualizare 3D.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Suport IT profesionist din Cehia – administrare Windows, administrare de domenii și găzduire web.

defendersoft.cz

onlineweg.de

Portal de turism din Germania – pachete de vacanță, hoteluri și zboruri online, cu consiliere personală de agenție de turism.

onlineweg.de

Criadero

Agenție de creație din Brandenburg – web design, materiale tipărite, fotografie și panorame 360°, toate de la un singur furnizor.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Furnizor de servicii IT din Wächtersbach – site-uri Joomla, service PC, hardware și software.

jahnedv.de

IsariConsult

Consultanță în securitatea informației din Berlin – analize de securitate, managementul riscurilor și ISO 27001 pentru IMM-uri.

isari-consult.de