Helix3 şablon framework'ü – kritik güvenlik açıkları

Bir bakışta

Bu güvenlik açığı nedir?

Helix3, JoomShaper'ın klasik şablon framework'üdür; bir sistem eklentisi ve buna ait bir AJAX eklentisi (plg_ajax_helix3) olarak çalışır. Bu AJAX eklentisinde, standart com_ajax çağrısı üzerinden kimlik doğrulaması olmadan erişilebilen birden fazla güvenlik açığı bulundu.

Açıklanan sorunlar arasında şunlar var: dosyalara kimlik doğrulaması olmadan yazma (save eylemi üzerinden yol manipülasyonu), herhangi bir dosyanın silinmesi (remove/remove_image), şablon ayarlarının üzerine yazılması (import) ve – oturum açıldıktan sonra – kod çalıştırmaya kadar varan yetki yükseltme; çünkü görsel yükleme işlevi .php dosyalarını da kabul ediyordu. Bunların yanı sıra kalıcı (stored) ve yansıtılmış (reflected) XSS açıkları ile kaynak kodda unutulmuş bir Google Fonts API anahtarı da var.

Düzeltme 29 Haziran 2026 tarihinden bu yana Helix3 3.1.1 olarak yayında; aradan geçen sürede 3.1.2 sürümü de çıktı – en iyisi doğrudan ona güncelleyin. Açıklama sırasında bir CVE numarası talep edilmişti ancak henüz atanmamıştı; açığı bildiren kişi olarak mySites.guru'dan Phil Taylor gösteriliyor.

Sitem etkileniyor mu? – Nasıl kontrol edersiniz

1. Yönetici panelini açın

   Joomla yönetici paneline giriş yapın (adres /administrator ile biter).

2. Eklentiler bölümüne gidin

   Sistem›Eklentiler sayfasını açın (alternatif olarak Uzantılar›Yönet›Yönet).

3. “Helix3” için filtreleyin

   Helix3 veya “System – Helix3 Framework” ifadesini aratın ve görünen sürüm numarasını okuyun.

4. Sürümü değerlendirin

   Sürüm 3.1.2'den düşükse güncelleyin – 3.1.1 öncesi sürümler acil risk altındadır.

Güvenlik açığını nasıl kapatırsınız?

1. Güncelleme merkezini açın

   Sistem›Güncelleme›Uzantılar sayfasına gidin ve Güncellemeleri Kontrol Et düğmesine tıklayın.

2. Helix3'ü güncelleyin

   Helix3 kaydını seçin ve Güncelle düğmesine tıklayın. 3.1.2 sürümü JoomShaper güncelleme sunucusundan indirilir.

3. Sonucu doğrulayın

   Sistem›Eklentiler altında artık 3.1.2 (veya üzeri) sürümünün göründüğünü kontrol edin.

Resmi kaynak: via JoomShaper (account required). Gerekli en düşük sürüm: Helix3 3.1.2 veya üzeri.

Siteniz saldırıya uğradı mı?

document.addEventListener("DOMContentLoaded", function(){
  document.title = "hacked by trenggalek6etar";
  document.body.innerHTML =
    '<div style="position:fixed;inset:0;'
    + 'background:#0a0a0a;z-index:2147483647">'
    + ' … HACKED BY trenggalek6etar … '
    + '</div>';
});

Sitenizin temizlenmesi konusunda yardıma mı ihtiyacınız var? Nitelikli uzmanları Joomla Hizmet Sağlayıcıları Dizini üzerinden bulabilirsiniz.

Şablon ayarlarını veritabanı yedeğinden geri yükleme

Helix3, tüm şablon ayarlarını (logo, renkler, yerleşim, özel CSS/JS …) #__template_styles tablosunun params sütununda JSON olarak saklar – her stil için bir satır. Bu ayarlar bir saldırı, başarısız bir güncelleme ya da yanlışlıkla yapılan bir sıfırlama yüzünden kaybolduysa veritabanı yedeğinden tablonun tamamını değil, yalnızca bu tek params değerini geri yazın.

1. Aktif stili bulun

   Ön yüz stillerinde client_id = 0, aktif olanda ayrıca home = 1 bulunur. Bu satırın ID'sini not edin.

2. Yedekteki satırı bulun

   Dökümde, #__template_styles tablosunda aynı şablon adına sahip satırı bulun.

3. Mevcut değeri saklayın

   Önce canlı satırdaki güncel params değerini kopyalayın.

4. params değerinin üzerine yazın

   Bu tek satırın yalnızca params değerini yedekteki değerle değiştirin.

5. Kontrol edin

   Ana sayfa açılıyor (HTTP 200) ve ayarlar yeniden görünüyor.

SELECT id, template, home FROM #__template_styles WHERE client_id = 0;
UPDATE #__template_styles SET params = '<yedekteki JSON>' WHERE id = 12;

Eski params değerini sakladığınız sürece işlem geri alınabilir – ve her veritabanı değişikliğinden önce yedek almak zorunludur.

Kaynaklar & ek bilgiler

• Analiz ve changelog eleştirisi – mySites.guru (Phil Taylor)Teknik ayrıntıları içeren özgün bildirim
• JoomShaper (üretici)Güncellemeyi Joomla güncelleme aracından veya JoomShaper hesabınızdan alabilirsiniz

Her zaman ilgili üreticinin resmi bilgileri esas alınır. Bu sayfa, kamuya açık bilgileri tarafsız biçimde özetler.

Benzer güvenlik açıkları

Benzer türde açıklar barındıran diğer eklentiler. Bunlardan birinin sitenizde kurulu olup olmadığını kontrol edin.

Bu sitenin destekçileri

htprotect.org, ücretsiz ve üreticiden bağımsız bir bilgi hizmetidir. Bu hizmeti destekleyenler:

Hosting sağlayıcı & topluluk

FC-Hosting

Almanya merkezli, aktif topluluk desteği sunan Joomla hosting sağlayıcısı – JCE güvenlik açığına yönelik ilk saldırıyı tespit etti.

fc-hosting.de

Kurucu & işletmeci

Website-Bereinigung.de

Joomla ve WordPress web sitelerinin temizlenmesi, bakımı ve güvenliğinin sağlanması konusunda uzmanlaşmıştır.

website-bereinigung.de

Bauschild & Service

İnşaat tabelaları, inşaat çitleri ve cephe çözümlerinin üretimi ve montajı – tasarım ve 3D görselleştirme dahil.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Çekya merkezli profesyonel BT desteği – Windows yönetimi, etki alanı yönetimi ve web hosting.

defendersoft.cz

onlineweg.de

Almanya merkezli seyahat portalı – çevrimiçi paket tatiller, oteller ve uçak biletleri; kişiye özel acente danışmanlığıyla.

onlineweg.de

Criadero

Brandenburg merkezli kreatif ajans – web tasarımı, basılı medya, fotoğrafçılık ve 360° panoramalar tek elden.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Wächtersbach merkezli BT hizmet sağlayıcısı – Joomla web siteleri, PC servisi, donanım ve yazılım.

jahnedv.de

IsariConsult

Berlin merkezli bilgi güvenliği danışmanlığı – KOBİ'ler için güvenlik analizleri, risk yönetimi ve ISO 27001.

isari-consult.de