SniperSister

Was ist denn jetzt die offene Frage?!

Ist Sayadmin eine kostenlose Erweiterung oder ein kommerzielles Angebot?

Die heutigen Update-Kandidaten: * Balbooa Forms * ZOO * J-Business Directory * Phoca Cart * Phoca Download * iCagenda

https://github.com/joomla/joomla-cms/issues - oben rechts auf "new Issue" Kannst gerne schonmal die mutmaßliche Ursache mit rein nehmen: […]

Mach dafür mal bitte ein Bug Ticket im Tracker auf, das ist so sicherlich nicht gewünscht

Sourcerer: https://www.cve.org/CVERecord?id=CVE-2026-74253 Phoca Cart: https://www.cve.org/CVERecord?id=CVE-2026-74251 iCagenda: https://www.cve.org/CVERecord?id=CVE-2026-67365 SP Pagebuilder: https://www.cve.org/CVERecord?id=CVE-2026-67285 Cotton Cloud: https://www.cve.org/CVERecord?id=CVE-2026-67283 Fabrik: https://www.cve.org/CVERecord?id=CVE-2026-66915 Happy Updating

[…] Well, der Satz > "das hat keinen konkreten Bezug zum Pagebuilder Update." impliziert für mich, dass es ein anderes Thema ist, aber das betrachten wir mal als Detail und konzentrieren uns auf die Kernfrage: "Warum hat David auf ein externes Forum verwiesen und nicht auf einen eigenen Thread" Grundsätzliche faire Frage, die ich gerne beantworten will. Der Hinweis hatte für mich 2 Gründe: ist mir der Umstand, dass Pascal ein eigenes Forum betreibt, gut bekannt und ich war mir sicher,…

Seid so gut und führt die htprotect Diskussion bitte beim Entwickler, das hat keinen konkreten Bezug zum Pagebuilder Update.

[…] Grundsätzlich unterschreibe ich diese Einschätzung, die konkrete Vorgehensweise von JoomShaper und inbesondere die Art der Kommunikation ist mehr als ausbaufähig. Siehe auch https://www.joomshaper.com/forum/question/46211

[…] Das Joomla Projekt muss einen Mittelweg zwischen Sicherheit und Nutzungskomfort finden. Man kann ein System immer noch stärker härten, noch mehr Sicherheitsmechanismen einbauen und Maßnahmen erzwingen - das geht dann aber auf Kosten des Komfort und erzeugt Nutzerbeschwerden. Ist eine Seite ohne htaccess Passwortschutz im Backend per se unsicher? Nein. Ist es, in der langen Liste der potenziellen Maßnahmen, eine der sinnvollsten Tätigkeiten? Auf jeden Fall.

[…] Bezog sich auf den “Originalserver” von Bitwarden, den fand ich sehr lahm, Ressourcenintensiv und buggy. Der vaultwarden Server läuft wie ne eins.

Eine Anmerkung zu Bitwarden + Vaultwarden: so (sorry) beschissen die Server-Komponente, so gut sind die Bitwarden Clients; wenn ihr die Kombi Bitwarden + Vaultwarden einsetzt, denkt also trotzdem darüber nach die Entwicklung der Clients mit einer Lizenz zu unterstützen, damit uns das Setup auch nachhaltig erhalten bleibt.

Inhaltlich durchaus diskutable Inhalte. Dass eine WAF dann mehr “versteht” wenn sie näher an der Applikation ist, ist für mich nicht nachvollziehbar, denn der gesamte request-Payload ist bereits bei vorgeschalteten Systemen verfügbar, einzig Session und State Infos fehlen dort. Die haben WAFs auf Applikationsebene zwar, dafür haben sie den fatalen Nachteil dass sie erst im verlauf des Aufrufs des Systems aktiv werden und bei frühen Angriffsvektoren nutzlos sind. Zudem schützen sie nur die…

[…] Es gibt keine bekannte Lücke.

[…] Bei 95% der Angriffsvektoren der letzten Wochen war eine CSP generell wirkungslos, bei den anderen 5% hätte nur eine strikte und im CMS Kontext daher normalerweise unbenutzbare CSP etwas gebracht.

Muss den Kollegen explizit loben: er hat proaktiv kommuniziert und auf Anfrage binnen kürzester Zeit umfassende Infos geliefert, die ich für die CVE IDs gebraucht habe.

Scroll mal runter zum Release vom 22., dort sind alle gepatchten Erweiterungen inkl. Security fixes gelistet. Sehe da nix unter dem Teppich, alles auf dem Silbertablett ;)