Helix3: критические уязвимости Joomla — обновление 3.1.2

Коротко о главном

В чём суть уязвимости?

Helix3 — классический фреймворк шаблонов JoomShaper: он работает как системный плагин в связке с AJAX-плагином (plg_ajax_helix3). Именно в этом AJAX-плагине найдено несколько уязвимостей, доступных через штатную точку входа com_ajax без аутентификации.

В частности, описаны: запись в файлы без аутентификации (подмена пути через действие save), удаление произвольных файлов (remove/remove_image), перезапись настроек шаблона (import), а также — уже после входа в систему — повышение привилегий вплоть до выполнения кода, поскольку загрузчик изображений принимал и .php-файлы. Кроме того, найдены хранимые и отражённые XSS, а в исходном коде остался ключ Google Fonts API.

Исправление доступно с 29 июня 2026 года в виде Helix3 3.1.1; с тех пор вышла версия 3.1.2 — обновляйтесь сразу до неё. Номер CVE на момент публикации был запрошен, но ещё не присвоен; уязвимости обнаружил Phil Taylor из mySites.guru.

Мой сайт уязвим? – Как это проверить

1. Откройте административную панель

   Войдите в административную панель Joomla — её адрес заканчивается на /administrator.

2. Перейдите к плагинам

   Откройте Система›Плагины (либо Расширения›Управление›Управление).

3. Отфильтруйте по «Helix3»

   Найдите Helix3 или запись «System – Helix3 Framework» и посмотрите указанный номер версии.

4. Оцените версию

   Если версия ниже 3.1.2, обновите расширение – версии до 3.1.1 уязвимы прямо сейчас.

Как закрыть уязвимость

1. Откройте центр обновлений

   Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.

2. Обновите Helix3

   Выберите запись Helix3 и нажмите Обновить. Версия 3.1.2 поставляется через сервер обновлений JoomShaper.

3. Проверьте результат

   Убедитесь в разделе Система›Плагины, что теперь отображается 3.1.2 (или новее).

Официальный источник: via JoomShaper (account required). Убедитесь, что установлена версия не ниже Helix3 3.1.2 или новее.

Сайт уже взломали?

document.addEventListener("DOMContentLoaded", function(){
  document.title = "hacked by trenggalek6etar";
  document.body.innerHTML =
    '<div style="position:fixed;inset:0;'
    + 'background:#0a0a0a;z-index:2147483647">'
    + ' … HACKED BY trenggalek6etar … '
    + '</div>';
});

Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.

Восстановление настроек шаблона из резервной копии базы данных

Helix3 хранит все настройки шаблона (логотип, цвета, макет, собственные CSS/JS …) в виде JSON в столбце params таблицы #__template_styles – по одной строке на каждый стиль. Если они пропали из-за взлома, неудачного обновления или случайного сброса, верните из резервной копии базы только это одно значение params, а не всю таблицу.

1. Найдите активный стиль

   У стилей сайта client_id = 0, у активного дополнительно home = 1. Запишите его ID.

2. Найдите строку в резервной копии

   В дампе найдите строку #__template_styles с тем же именем шаблона.

3. Сохраните текущее значение

   Сначала скопируйте текущее значение params из рабочей строки.

4. Перезапишите params

   Замените значением из копии только params в этой одной строке.

5. Проверьте

   Главная страница загружается (HTTP 200), настройки снова на месте.

SELECT id, template, home FROM #__template_styles WHERE client_id = 0;
UPDATE #__template_styles SET params = '<JSON из резервной копии>' WHERE id = 12;

Действие обратимо, пока сохранено старое значение params – и перед любым изменением базы данных резервная копия обязательна.

Источники & полезные ссылки

• Технический разбор и критика журнала изменений – mySites.guru (Phil Taylor)Первоисточник с техническими подробностями
• JoomShaper (разработчик)Обновление доступно через менеджер обновлений Joomla или аккаунт JoomShaper

Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de