HTProtect.org
Site independent de informare despre vulnerabilitățile de securitate Joomla
RO
HTProtect HTProtect JOOMLA SECURITY
Nou htprotect.app - Administrare centralizată Joomla pentru mai multe site-uri
htprotect.org Vulnerabilități & ghiduri de actualizare
Nou htprotect.app - Administrare centralizată Joomla pentru mai multe site-uri
Vulnerabilitate de securitate

iCagenda Joomla: vulnerabilitate critică de upload

CriticăCVE-2026-48939
Acționați acum
Actualizați iCagenda la 4.0.8 (pe Joomla 3, la 3.9.15).
Descărcați versiunea sigură Vedeți pașii de actualizare

Versiune sigură: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download

Pe scurt

Extensia afectată
iCagenda – calendar de evenimente
Producător
iCagenda
Tipul vulnerabilității
Lipsa unei verificări de autentificare în formularul de evenimente (și vizitatorii neautentificați pot crea evenimente); pe Joomla 6, upload critic de fișiere fără autentificare
Versiuni afectate
iCagenda de la 3.2.1 la 4.0.7
Versiune sigură
iCagenda 4.0.8 (Joomla 3: 3.9.15)   Descărcare
Severitate
Critică
CVE
CVE-2026-48939
Compatibilitate Joomla
Joomla 3 / 4 / 5 / 6
Actualizat / publicat
Publicat: 15 iunie 2026

Despre ce este vorba?

iCagenda este o extensie larg răspândită pentru calendare de evenimente. Formularului de trimitere a evenimentelor îi lipsea o verificare reală a autentificării – astfel, și vizitatorii neautentificați puteau crea evenimente, chiar dacă formularul era destinat exclusiv utilizatorilor înregistrați. Pe Joomla 6 (6.0.0–6.1.1), prin acest formular se poate declanșa un upload de fișiere – acolo vulnerabilitatea este critică; celelalte versiuni de Joomla nu sunt afectate de acest aspect.

Sunt afectate versiunile iCagenda de la 3.2.1 la 4.0.7 (versiunile anterioare lui 3.2.1 nu sunt afectate). Corecția a apărut ca iCagenda 4.0.8 pe 15 iunie 2026; pentru Joomla 3 există suplimentar iCagenda 3.9.15 (16 iunie 2026). Vulnerabilitatea este înregistrată cu identificatorul CVE-2026-48939.

Fișierele încărcate ajung de regulă în images/icagenda/frontend/. O regulă .htaccess poate împiedica execuția codului PHP în acest director – o măsură de securizare utilă, care însă nu înlocuiește actualizarea.

Timpul contează
Imediat ce detaliile tehnice devin publice, scanerele automate identifică de regulă astfel de vulnerabilități în câteva ore. De aceea, actualizați cât mai repede.

Sunt afectat? – Cum verificați

  1. Deschideți panoul de administrare

    Autentificați-vă în administratorul Joomla.

  2. Verificați versiunea iCagenda

    Deschideți Extensii›Administrare›Administrare și filtrați după „iCagenda”.

  3. Evaluați versiunea

    Dacă versiunea se află între 3.2.1 și 4.0.7, este nevoie de intervenție – pe Joomla 6, vulnerabilitatea este critică.

Cum remediați vulnerabilitatea

Înainte de orice actualizare: copie de rezervă
Salvați fișierele și baza de date înainte de a actualiza – astfel puteți reveni la starea anterioară dacă apare o problemă (de ex. cu Akeeba Backup sau prin furnizorul de găzduire).
  1. Deschideți centrul de actualizări

    Accesați Sistem›Actualizare›Extensii și faceți clic pe Verifică actualizările.

  2. Actualizați iCagenda

    Selectați intrarea iCagenda și faceți clic pe Actualizează (versiunea țintă 4.0.8; pe Joomla 3, 3.9.15).

  3. Confirmați versiunea

    Verificați dacă acum este instalată versiunea 4.0.8 (respectiv 3.9.15 pe Joomla 3) sau una mai nouă.

Instalare manuală (alternativă)
Alternativ, descărcați pachetul de pe icagenda.com și instalați-l prin Extensii›Administrare›Instalare. Important: nu restaurați fișiere vechi din backup – instalați direct versiunea 4.0.8 (pe Joomla 3: 3.9.15).
Descărcați versiunea sigură

Sursă oficială: free download. Asigurați-vă că aveți cel puțin iCagenda 4.0.8 (Joomla 3: 3.9.15).

Site-ul a fost deja atacat?

Site-urile deja atacate au nevoie de mai mult decât o actualizare
Verificați dacă în directorul images/icagenda/frontend/ există fișiere străine. Dacă site-ul a fost compromis, este necesară o curățare structurată – simpla ștergere a câtorva fișiere nu este suficientă.

Aveți nevoie de ajutor la curățarea site-ului? Găsiți specialiști calificați în Directorul furnizorilor de servicii Joomla.

Surse & informații suplimentare

Prevalează întotdeauna informațiile oficiale ale producătorului respectiv. Această pagină rezumă neutru informațiile disponibile public.

Înapoi la toate vulnerabilitățile
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de