Содержание

  1. Суть угрозы: что именно было исправлено?
    1. 1. Небезопасная фильтрация встроенного аудио и видео
    2. 2. Проверка шаблонов страницы ошибки
    3. 3. XSS-защита медиаменеджера
    4. 4. Права на редактирование материалов и удаление изображений
    5. 5. CSRF-защита рейтинга материалов
    6. 6. Очистка текста бейджей Мега-меню
  2. Кто находится в зоне риска?
  3. Это продолжение предыдущих исправлений Helix Ultimate
  4. Решение проблемы: пошаговая инструкция
    1. Шаг 1: создайте резервную копию
    2. Шаг 2: обновите Helix Ultimate до версии 2.2.11
    3. Шаг 3: очистите кэш и проверьте сайт
  5. Проверка признаков возможной эксплуатации
  6. Дополнительные меры защиты
  7. Можем сделать всё за вас

Разработчики JoomShaper выпустили обновление Helix Ultimate 2.2.11, в котором устранены шесть проблем безопасности. Они затрагивают фильтрацию встроенного аудио и видео, обработку путей, медиаменеджер, редактирование материалов, рейтинг статей и бейджи Мега-меню.

Совокупный уровень угрозы оценён разработчиками как Moderate / Medium, а общая оценка составляет около 6,5 балла по шкале CVSS. Уязвимы все версии Helix Ultimate с 2.0.0 по 2.2.10 включительно. Исправления доступны в версии 2.2.11.

Важно!
Если на вашем сайте установлен Helix Ultimate версии 2.2.10 или ниже, обновите его до 2.2.11 как можно скорее. Хотя разработчик не относит эти проблемы к критическому уровню, некоторые из них могут использоваться для XSS-атак, обхода проверки путей, выполнения действий от имени авторизованного пользователя и нарушения целостности контента.

Суть угрозы: что именно было исправлено?

В Helix Ultimate 2.2.11 усилены проверки входных данных и прав доступа сразу в нескольких частях фреймворка.

1. Небезопасная фильтрация встроенного аудио и видео

Функция очистки HTML-кода для аудио- и видеовставок использовала параметры Joomla InputFilter некорректно: перечисленные теги и атрибуты фактически обрабатывались как запрещённые, а не как разрешённые. В результате корректный код проигрывателей мог удаляться, тогда как некоторые опасные HTML-конструкции могли пройти фильтрацию.

В версии 2.2.11 включена строгая работа по белому списку: Helix Ultimate разрешает только ожидаемые теги и атрибуты, необходимые для безопасного встраивания аудио и видео. Это снижает риск внедрения вредоносного JavaScript-кода и XSS-атак.

2. Проверка шаблонов страницы ошибки

Имя предустановленного оформления страницы ошибки использовалось при формировании пути к файлу. При недостаточно строгой проверке специально подготовленное значение могло попытаться выйти за пределы ожидаемой папки — такой класс проблем называется обходом пути или path traversal.

Теперь название пресета проверяется с помощью регулярного выражения. Если значение не соответствует разрешённому формату, Helix Ultimate использует безопасный вариант по умолчанию.

3. XSS-защита медиаменеджера

В интерфейсе выбора медиафайлов усилено экранирование следующих данных:

  • названий папок;
  • путей к файлам;
  • области предварительного просмотра;
  • элементов навигационной цепочки.

Без правильного экранирования специально сформированное имя файла или каталога могло интерпретироваться браузером как HTML или JavaScript. В версии 2.2.11 такие значения выводятся безопасно.

4. Права на редактирование материалов и удаление изображений

Helix Ultimate теперь дополнительно проверяет, имеет ли пользователь право редактировать конкретный материал, а не только общий доступ к функции редактирования. Это предотвращает изменение чужих материалов пользователями с недостаточными правами.

Перед удалением изображения блога фреймворк также проверяет, что указанная ссылка на изображение действительно существует и относится к обрабатываемому материалу. Это уменьшает риск удаления неподходящего файла через подменённые данные запроса.

5. CSRF-защита рейтинга материалов

Запросы голосования за материалы теперь требуют действительный CSRF-токен Joomla. Такой токен подтверждает, что действие было отправлено с самого сайта, а не незаметно инициировано сторонней страницей в браузере посетителя.

Дополнительно проверяется допустимый диапазон оценки. Это не позволяет передавать отрицательные, чрезмерно большие или иные некорректные значения рейтинга.

6. Очистка текста бейджей Мега-меню

Текст бейджа в Мега-меню теперь очищается средствами Joomla InputFilter. Потенциально опасная HTML-разметка и JavaScript-код не должны сохраняться и выполняться при выводе меню.

Обратите внимание
Для перечисленных исправлений разработчик не указал отдельные идентификаторы CVE. Это не означает, что обновление можно отложить: версия 2.2.11 закрывает реальные недостатки фильтрации, проверки путей и контроля доступа.

Кто находится в зоне риска?

Обновление необходимо всем сайтам, на которых используется Helix Ultimate версии от 2.0.0 до 2.2.10 включительно. Исправленная версия 2.2.11 предназначена для следующих систем:

  • Joomla 4.4.x;
  • Joomla 5.x;
  • Joomla 6.x.

Разработчик указывает поддержку PHP 8.1, 8.2 и 8.3, а также готовность к PHP 8.4.

Совместимость не означает безопасность
PHP 8.1 уже не получает обычные обновления безопасности. Даже если Helix Ultimate технически работает на этой ветке, для действующего сайта следует использовать актуальную и поддерживаемую версию PHP, совместимую со всеми установленными расширениями.

Это продолжение предыдущих исправлений Helix Ultimate

Версия 2.2.11 не заменяет только одно конкретное исправление, а продолжает серию обновлений безопасности Helix Ultimate:

  • в версии 2.2.7 были закрыты неавторизованная хранимая XSS и возможность удаления файлов;
  • в версии 2.2.10 разработчики усилили защиту Live Preview, режима Coming Soon, медиадействий, Мега-меню, загрузки изображений и фронтенд-редактирования;
  • версия 2.2.11 устраняет ещё шесть проблем, обнаруженных после предыдущего выпуска.

Важно знать
Обновление до 2.2.10 уже недостаточно. Чтобы получить все опубликованные исправления безопасности, необходимо установить Helix Ultimate 2.2.11 или более новую версию.

Решение проблемы: пошаговая инструкция

Шаг 1: создайте резервную копию

Перед обновлением сделайте полную резервную копию файлов и базы данных сайта. Убедитесь, что архив можно скачать и восстановить независимо от рабочего сайта.

Шаг 2: обновите Helix Ultimate до версии 2.2.11

  1. Откройте панель управления Joomla.
  2. Перейдите в раздел Система → Обновление → Расширения.
  3. Нажмите кнопку проверки обновлений.
  4. Найдите обновление Helix Ultimate и установите версию 2.2.11 или выше.
  5. Проверьте, что обновлены и шаблон, и системный плагин Helix Ultimate, если они отображаются отдельными пакетами.

Если обновление не отображается
Скачайте актуальный установочный пакет Helix Ultimate с официального сайта JoomShaper и установите его через Система → Установка → Расширения. Не используйте архивы с неофициальных сайтов.

Шаг 3: очистите кэш и проверьте сайт

  1. Очистите кэш Joomla и Helix Ultimate.
  2. Если используется CDN или серверное кэширование, очистите и их.
  3. Проверьте главную страницу, материалы блога, Мега-меню, медиаменеджер, встроенные видео и аудиопроигрыватели.
  4. Проверьте страницу ошибки 404 и отправку рейтинга материалов, если эти функции используются.

Поскольку логика фильтрации встроенного медиакода изменилась, некоторые старые вставки аудио или видео могут потребовать корректировки. Не отключайте защитную фильтрацию ради восстановления сомнительного кода — лучше заменить его официальным кодом вставки от доверенного сервиса.

Проверка признаков возможной эксплуатации

Установка исправления закрывает уязвимости, но не отменяет изменения, которые могли быть сделаны ранее. После обновления рекомендуем:

  1. Проверить материалы с аудио и видео: найдите неизвестные теги, скрипты, обработчики событий и вставки из незнакомых источников.
  2. Проверить Мега-меню: просмотрите названия и текст бейджей на наличие посторонней разметки или JavaScript-кода.
  3. Проверить медиакаталоги: обратите внимание на необычные имена файлов и папок, а также на недавно добавленные или удалённые изображения.
  4. Проверить материалы и пользователей: найдите неожиданные изменения публикаций и учётные записи с избыточными правами.
  5. Просмотреть журналы сервера: проверьте подозрительные запросы к редактированию материалов, рейтингу, медиаменеджеру и параметрам Helix Ultimate.

Если обнаружены признаки взлома
Не ограничивайтесь обновлением расширения. Сохраните журналы, временно закройте административный доступ, проверьте файлы и базу данных, смените пароли и секреты после очистки сайта. При серьёзном инциденте безопаснее восстановить сайт из проверенной резервной копии и провести полноценный аудит.

Дополнительные меры защиты

  • Обновите Joomla до последней версии своей поддерживаемой ветки.
  • Обновите остальные расширения и шаблоны, включая неиспользуемые компоненты, либо удалите их.
  • Используйте минимально необходимые права: не выдавайте редакторам и авторам доступ к настройкам шаблона, если он им не требуется.
  • Включите многофакторную аутентификацию для администраторов.
  • Используйте поддерживаемую версию PHP и своевременно устанавливайте исправления сервера.
  • Создавайте регулярные резервные копии и храните хотя бы одну копию за пределами сервера сайта.

Можем сделать всё за вас

Если вы не уверены в совместимости шаблона, боитесь нарушить внешний вид сайта или уже заметили подозрительные изменения, наши специалисты помогут:

  • создать полную резервную копию;
  • обновить Helix Ultimate и Joomla;
  • проверить работу шаблона после обновления;
  • найти следы вредоносного кода и посторонних изменений;
  • усилить защиту сайта и административной панели.

Оставить заявку Список услуг

Post Scriptum
Предупрежден - значит вооружен! Безусловно, атаки и взломы будут продолжаться, но если вы примените все меры безопасности прямо сейчас, то сведете все риски к минимуму.

Упоминаемые термины:

HTML, PHP, Админка, Плагин, Бэкап, JavaScript, XSS, Helix Ultimate, Регулярные выражения