Helix3 şablon framework'ü – kritik güvenlik açıkları

Bir bakışta

Bu güvenlik açığı nedir?

Helix3, JoomShaper'ın klasik şablon framework'üdür; bir sistem eklentisi ve buna ait bir AJAX eklentisi (plg_ajax_helix3) olarak çalışır. Bu AJAX eklentisinde, standart com_ajax çağrısı üzerinden kimlik doğrulaması olmadan erişilebilen birden fazla güvenlik açığı bulundu.

Açıklanan sorunlar arasında şunlar var: dosyalara kimlik doğrulaması olmadan yazma (save eylemi üzerinden yol manipülasyonu), herhangi bir dosyanın silinmesi (remove/remove_image), şablon ayarlarının üzerine yazılması (import) ve – oturum açıldıktan sonra – kod çalıştırmaya kadar varan yetki yükseltme; çünkü görsel yükleme işlevi .php dosyalarını da kabul ediyordu. Bunların yanı sıra kalıcı (stored) ve yansıtılmış (reflected) XSS açıkları ile kaynak kodda unutulmuş bir Google Fonts API anahtarı da var.

Düzeltme 29 Haziran 2026 tarihinden bu yana Helix3 3.1.1 olarak yayında; aradan geçen sürede 3.1.2 sürümü de çıktı – en iyisi doğrudan ona güncelleyin. Açıklama sırasında bir CVE numarası talep edilmişti ancak henüz atanmamıştı; açığı bildiren kişi olarak mySites.guru'dan Phil Taylor gösteriliyor.

Sitem etkileniyor mu? – Nasıl kontrol edersiniz

1. Yönetici panelini açın

   Joomla yönetici paneline giriş yapın (adres /administrator ile biter).

2. Eklentiler bölümüne gidin

   Sistem›Eklentiler sayfasını açın (alternatif olarak Uzantılar›Yönet›Yönet).

3. “Helix3” için filtreleyin

   Helix3 veya “System – Helix3 Framework” ifadesini aratın ve görünen sürüm numarasını okuyun.

4. Sürümü değerlendirin

   Sürüm 3.1.2'den düşükse güncelleyin – 3.1.1 öncesi sürümler acil risk altındadır.

Güvenlik açığını nasıl kapatırsınız?

1. Güncelleme merkezini açın

   Sistem›Güncelleme›Uzantılar sayfasına gidin ve Güncellemeleri Kontrol Et düğmesine tıklayın.

2. Helix3'ü güncelleyin

   Helix3 kaydını seçin ve Güncelle düğmesine tıklayın. 3.1.2 sürümü JoomShaper güncelleme sunucusundan indirilir.

3. Sonucu doğrulayın

   Sistem›Eklentiler altında artık 3.1.2 (veya üzeri) sürümünün göründüğünü kontrol edin.

Resmi kaynak: via JoomShaper (account required). Gerekli en düşük sürüm: Helix3 3.1.2 veya üzeri.

Siteniz saldırıya uğradı mı?

document.addEventListener("DOMContentLoaded", function(){
  document.title = "hacked by trenggalek6etar";
  document.body.innerHTML =
    '<div style="position:fixed;inset:0;'
    + 'background:#0a0a0a;z-index:2147483647">'
    + ' … HACKED BY trenggalek6etar … '
    + '</div>';
});

Sitenizin temizlenmesi konusunda yardıma mı ihtiyacınız var? Nitelikli uzmanları Joomla Hizmet Sağlayıcıları Dizini üzerinden bulabilirsiniz.

Şablon ayarlarını veritabanı yedeğinden geri yükleme

Helix3, tüm şablon ayarlarını (logo, renkler, yerleşim, özel CSS/JS …) #__template_styles tablosunun params sütununda JSON olarak saklar – her stil için bir satır. Bu ayarlar bir saldırı, başarısız bir güncelleme ya da yanlışlıkla yapılan bir sıfırlama yüzünden kaybolduysa veritabanı yedeğinden tablonun tamamını değil, yalnızca bu tek params değerini geri yazın.

1. Aktif stili bulun

   Ön yüz stillerinde client_id = 0, aktif olanda ayrıca home = 1 bulunur. Bu satırın ID'sini not edin.

2. Yedekteki satırı bulun

   Dökümde, #__template_styles tablosunda aynı şablon adına sahip satırı bulun.

3. Mevcut değeri saklayın

   Önce canlı satırdaki güncel params değerini kopyalayın.

4. params değerinin üzerine yazın

   Bu tek satırın yalnızca params değerini yedekteki değerle değiştirin.

5. Kontrol edin

   Ana sayfa açılıyor (HTTP 200) ve ayarlar yeniden görünüyor.

SELECT id, template, home FROM #__template_styles WHERE client_id = 0;
UPDATE #__template_styles SET params = '<yedekteki JSON>' WHERE id = 12;

Eski params değerini sakladığınız sürece işlem geri alınabilir – ve her veritabanı değişikliğinden önce yedek almak zorunludur.

Kaynaklar & ek bilgiler

• Analiz ve changelog eleştirisi – mySites.guru (Phil Taylor)Teknik ayrıntıları içeren özgün bildirim
• JoomShaper (üretici)Güncellemeyi Joomla güncelleme aracından veya JoomShaper hesabınızdan alabilirsiniz

Her zaman ilgili üreticinin resmi bilgileri esas alınır. Bu sayfa, kamuya açık bilgileri tarafsız biçimde özetler.

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de