Sei froh, dass es Updates gibt und auch rechtzeitig angezeigt/kommuniziert wird.
Wird aber bei anderen Erweiterungen u.a im Zeitalter der Ki auch vorkommen.
Ich bin tatsächlich froh, dass die Entwickler diese Lücken immer wieder schliessen können. In den letzten 8 Wochen waren Produkte von denen leider mehrfach betroffen was dann natürlich nervt. Der "Spass" bleibt allmählich auf der Strecke...
Hallo,
es gibt schon wieder ein update für den Page Builder. Ich habe so langsam echt die Schnauze voll...
This version of SP Page Builder also patches a critical, unauthenticated SQL injection vulnerability. If you haven't updated yet, we strongly recommend doing so as soon as possible.
Beste Grüße!
Da ich vor Jahren mal Probleme mit den updates von plugin und template Helix Ultimate hatte installiere ich immer das aktuelle plugin und template drüber. Ich muß dann allerdings im Backend Site/Template Style unter Advanced "Compile SCSS to CSS" aktivieren und dann wieder deaktivieren damit der gewünschte Style geladen wird.
Bei der 2.2.7er Version wird der custom code nicht geladen (der erscheint dafür im Head auf der website), es sollte also die 2.2.8 genommen werden.
Vor einem Einspielen eines Backups muss immer der Webspace komplett gelöscht werden,
und die Datenbank geleert oder gelöscht werden (neue installieren).
Ist aber hier nicht das Thread-Thema.
Bitte neues Thema erstellen.
Ich dachte das läuft mit der Restore-Funktion der Pro-Version von Akeeba automatisch. Wozu sonst der Button "Restore"?
Du hast aber sicherlich den Webspace und die db gelösct vorher?
Für das Backup aus der Komponente mit restore? Nein.
Ergänzung: Beim update von Template Helix Ultimate 2.2.6 zu 2.2.7 war plötzlich der custum code der vor </head> eingesetzt war auf der website sichtbar. Daher das Einspielen bzw. der Versuch das Backup einzuspielen. Das spiele ich jetzt vom Provider ein...
Hallo,
wollte eben ein Akeeba-Backup einspielen:
Forbidden
You don't have permission to access /installation/index.php on this server.
Scheinbar wird ein 403 bei diesem Server zum 404? Das gibt's - manche Server liefern bei verbotenem Zugriff bewusst ein 404 statt 403 aus (Security-by-Obscurity Verschleierungs-Strategie).
Bitte versuch es mal mit der dahingehend gefixten 2.3.4 (erkennt wenn Server eigentlich 403 als 404 zurückgibt) - was dann dort jetzt im Selbsttest rauskommt. Gggf. nach drüberinstallieren noch mal auf den Update Button am Selbsttest klicken.
sieht jetzt so aus:
Welche Prüfungen? (Details anzeigen)
| Prüfung | Status | Ergebnis |
|---|---|---|
| Startseite erreichbar | 200 | OK |
| Backend erreichbar (401 = Passwortschutz aktiv) | 200 | OK |
| PHP-Schild aktiv (Test-Aufruf wird mit 403 abgewiesen) Antwort 404: Rewrite-Regeln greifen evtl. nicht (kein Apache/LiteSpeed oder AllowOverride aus). | 404 | prüfen |
| configuration.php gesperrt | 404 | OK |
php-schild wäre noch zu prüfen...
bei den websites die bei einem speziellen Hoster liegen habe ich folgendes gefunden:
| Startseite erreichbar | 200 | OK |
| Backend erreichbar (401 = Passwortschutz aktiv) | 200 | OK |
| PHP-Schild aktiv (Test-Aufruf wird mit 403 abgewiesen) Antwort 404: Rewrite-Regeln greifen evtl. nicht (kein Apache/LiteSpeed oder AllowOverride aus). | 404 | prüfen |
| configuration.php gesperrt (403 erwartet) | 404 | prüfen |
Welche Prüfungen soll ich durchführen?
Hast du die Akeeba Admin Tools installiert? Die haben die Option, das Erstellen neuer User zu verbieten.
Nein, habe ich nicht.
Da das eigentliche Thema erledigt ist schliesse ich den Thread. Die Sache mit dem Anlegen eines neuen Users öffne ich im dann in einem neuen Thread.
Das ausschalten - dann wird
Header always set X-Frame-Options "SAMEORIGIN"
nicht mehr geschrieben.
Am besten mit allen Problemen und Fragen im großen Thread bleiben, sonst kriegt das Admin-/Mod-Team eine Krise.
Ich hatte das erst gar nicht mit der Komponente in Verbindung gebracht. Das hatte ich bei dem Stress der letzten Tage völlig aus den Augen verloren. Danke dafür! Evtl. kann jemand diesen Thread in den Hauptthread verschieben?
Ich habe die letzte Sicherung der .htaccess widerhergestellt. Jetzt geht es wieder. Bleibt die Frage was die Ursache war. Klicke ich wieder auf "Jetzt absichern" ist das Problem wieder da.
Hast du vielleicht in der htaccess drin.
Ja, kommt tatsächlich von der kürzlich installierten Erweiterung HTProtect Server-Schild und sieht so aus
<IfModule mod_headers.c>
Header always set X-Frame-Options "SAMEORIGIN"
Header always set X-Content-Type-Options "nosniff"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always unset X-Powered-By
Header always unset X-Content-Powered-By
</IfModule>kann ich da einzelne Zeilen auskommentieren?
Hallo,
Seite Beispieldomain ist mittels iframe in Seite Geberdomain eingebunden. Das hat bis dato fehlerfrei funktioniert. Nun sehe ich "Die "X-Frame-Options"-Direktive "sameorigin" verbietet das Laden von "https://www.abfall-abc-landkreis-northeim.de/" in einem Frame."
Das plugin System - HTTP - Header in der joomla-Installation war und ist deaktiviert. Wo liegt das Problem bzw. wie kann ich das lösen?
Beste Grüße
Alles anzeigenIch habe heute früh eine Mail von htprotect erhalten.
Inhalt: [Datei verändert] Haupt-.htaccess wurde außerhalb von HTProtect geändert.
Geändert, eingefügt wurde:
Code<IfModule mime_module> AddHandler application/x-httpd-ea-php82 .php .php8 .phtml </IfModule>geblockte Angriffe
(blöde) Frage: Wie kommt jemand ohne Authorisierung Zugriff auf diese Datei bzw. auf den den Server?
Okay das soll vom cpanel automatisch gekommen sein. Man müsste halt wissen was von htprotect übenommen werden soll und was nicht...
Die Passwortoptionen wurden eingehalten?
ja
Ich habe heute früh eine Mail von htprotect erhalten.
Inhalt: [Datei verändert] Haupt-.htaccess wurde außerhalb von HTProtect geändert.
Geändert, eingefügt wurde:
<IfModule mime_module>
AddHandler application/x-httpd-ea-php82 .php .php8 .phtml
</IfModule>geblockte Angriffe
(blöde) Frage: Wie kommt jemand ohne Authorisierung Zugriff auf diese Datei bzw. auf den den Server?
Hast du deine Seite professionell bereinigt?
Hast du Screenshots zu der Anzeige?
Was steht in den markierten Feldern?
Sonderzeichen/Leerzeichen?
Ich habe jetzt eine wesentlich ältere Sicherung eingespielt, schnelle die updates eingespielt. Die Phantom-Superuser und Templates sind verschwunden, Installationsdatein in tmp und cache sind auch weg. Hatte das zwar zunächst manuell gelöscht aber das alte Backup war mir dann doch lieber.
Neue User lassen sich dennoch nicht anlegen. Ich denke aber, dass ist ein anderes Problem und liegt nicht am Hack.
bei einer Seite waren tatsächlich Templates und neue Superuser vorhanden. Habe die gelöscht und Dateien in diversen Ordnern entfernt und Datenbankname und DBUser geändert. Wollte nun einen neuen Superuser anlegen aber das System meldet:
Das Formular kann nicht abgeschickt werden, da erforderliche Daten fehlen. Bitte die markierten Felder korrigieren und erneut versuchen.
Alle Daten wuren eingegeben...
Wäre eine firewall, z.B. RSFirewall, in der Lage diese Art von Angriffen zu blockieren?