- Joomla Version
- alle
- PHP Version
- Unbekannt
- Hoster
- alle
Mysites.guru schreibt:
jDownloads ist eine seit langem etablierte Download-Manager-Komponente für Joomla, die als „com_jdownloads“ installiert wird und zum Speichern, Organisieren und Bereitstellen von Dateien auf Unternehmens-, Mitglieder- und Community-Websites dient. Sie ist seit 2007 im Joomla-Erweiterungsverzeichnis verfügbar. Jede 4.1.x-Version, von 4.1.0 bis 4.1.5, enthielt eine Datei, die dort nicht hätte enthalten sein dürfen: ein eigenständiges Upload-Skript ohne Anmeldeprüfung, ohne CSRF-Token und ohne Berechtigungsprüfung, das sich unter
administrator/components/com_jdownloads/assets/upload/upload-handler.php.
Jeder im Internet, der diese Adresse kannte, konnte sie nutzen, um Dateien auf Ihre Website hochzuladen.
jDownloads hat nun am 18. Juli 2026 die Version 4.1.6 als Sicherheitsupdate veröffentlicht. Es entfernt die übrig gebliebenen Dateien aus dem Paket und löscht alle Altdateien sowie das Verzeichnis „test_uploads“, die von einer früheren 4.1.x-Version zurückgelassen wurden, wenn eine Website diese installiert hat. Aktualisieren Sie jede betroffene Website auf 4.1.6. Dieser Beitrag erklärt, was die Datei bewirkte, in welchen Versionen sie enthalten war, wie schwerwiegend das Problem tatsächlich war und wie Sie sicherstellen können, dass sie entfernt wurde, ohne dabei Informationen zu veröffentlichen, die ein Angreifer kopieren könnte.
