HTProtect.org
Oberoende informationssida om säkerhetsbrister i Joomla
SV
HTProtect HTProtect JOOMLA SECURITY
Nytt htprotect.app - Central hantering av flera Joomla-webbplatser
htprotect.org Säkerhetsbrister & uppdateringsguider
Nytt htprotect.app - Central hantering av flera Joomla-webbplatser
Säkerhetsbrist

iCagenda: säkerhetsbrist – filuppladdning utan inloggning

KritiskCVE-2026-48939
Agera nu
Uppdatera iCagenda till 4.0.8 (på Joomla 3 till 3.9.15).
Ladda ner den säkra versionen Till uppdateringsstegen

Säker version: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download

I korthet

Berört tillägg
iCagenda – evenemangskalender
Utvecklare
iCagenda
Typ av säkerhetsbrist
Ingen inloggningskontroll i evenemangsformuläret (gäster kan skapa evenemang); på Joomla 6 en kritisk filuppladdning utan inloggning
Berörda versioner
iCagenda 3.2.1 till 4.0.7
Säker version
iCagenda 4.0.8 (Joomla 3: 3.9.15)   Ladda ner
Allvarlighetsgrad
Kritisk
CVE
CVE-2026-48939
Joomla-kompatibilitet
Joomla 3 / 4 / 5 / 6
Status / publicerad
Publicerad: 15 juni 2026

Vad handlar det om?

iCagenda är ett utbrett tillägg för evenemangskalendrar. I formuläret för att skicka in evenemang saknades en riktig inloggningskontroll – därför kunde även besökare utan inloggning skapa evenemang, trots att formuläret bara var avsett för registrerade användare. På Joomla 6 (6.0.0–6.1.1) kan detta utnyttjas för filuppladdning – där är säkerhetsbristen kritisk; övriga Joomla-versioner berörs inte av det.

Berörda är iCagenda 3.2.1 till 4.0.7 (versioner före 3.2.1 berörs inte). Rättningen kom som iCagenda 4.0.8 den 15 juni 2026; för Joomla 3 finns dessutom iCagenda 3.9.15 (16 juni 2026). Säkerhetsbristen har beteckningen CVE-2026-48939.

Uppladdade filer hamnar vanligtvis under images/icagenda/frontend/. En regel i .htaccess kan hindra att PHP körs i den mappen – en vettig härdning, men den ersätter inte uppdateringen.

Tiden är en faktor
Så snart tekniska detaljer blir offentliga brukar automatiserade skannrar hitta den här typen av säkerhetsbrister inom några timmar. Uppdatera därför snarast.

Är jag drabbad? – så här kontrollerar du

  1. Öppna adminpanelen

    Logga in i Joomla-administratören.

  2. Kontrollera iCagenda-versionen

    Öppna Tillägg›Hantera›Hantera och filtrera på ”iCagenda”.

  3. Bedöm versionen

    Ligger versionen mellan 3.2.1 och 4.0.7 behöver du agera – på Joomla 6 är säkerhetsbristen kritisk.

Så åtgärdar du säkerhetsbristen

Före varje uppdatering: säkerhetskopiera
Säkerhetskopiera filer och databas innan du uppdaterar – då kan du återställa allt om något går fel (t.ex. med Akeeba Backup eller via ditt webbhotell).
  1. Öppna uppdateringscentret

    Gå till System›Uppdatera›Tillägg och klicka på Sök efter uppdateringar.

  2. Uppdatera iCagenda

    Markera iCagenda-posten och klicka på Uppdatera (målversion 4.0.8; på Joomla 3 3.9.15).

  3. Kontrollera versionen

    Kontrollera att 4.0.8 (eller 3.9.15 på Joomla 3) eller nyare nu är installerad.

Manuell installation (alternativ)
Du kan också ladda ner paketet från icagenda.com och installera det via Tillägg›Hantera›Installera. Viktigt: återställ inte gamla säkerhetskopior – gör i stället en ren installation av version 4.0.8 (på Joomla 3: 3.9.15).
Ladda ner den säkra versionen

Officiell källa: free download. Se till att du har minst iCagenda 4.0.8 (Joomla 3: 3.9.15).

Har webbplatsen redan blivit hackad?

Redan angripna webbplatser behöver mer än en uppdatering
Kontrollera mappen images/icagenda/frontend/ efter främmande filer. Vid intrång krävs en strukturerad sanering – det räcker inte att radera enstaka filer.

Behöver du hjälp med saneringen? Du hittar kunniga specialister i Joomlas katalog över tjänsteleverantörer.

Källor & mer information

Det är alltid respektive utvecklares officiella uppgifter som gäller. Den här sidan sammanfattar offentligt tillgänglig information på ett neutralt sätt.

Tillbaka till alla säkerhetsbrister
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de