Správci webů na Joomla by měli zkontrolovat dvě oblíbená rozšíření. Bezpečnostní opravy vyšly pro Event Gallery a Modules Anywhere. V obou případech je závažnost hodnocena jako vysoká.

Pokud některé z těchto rozšíření používáte, doporučujeme neodkládat kontrolu verze a aktualizaci. Níže shrnujeme, koho se chyby týkají a na co si dát po instalaci opravy pozor.

Event Gallery: aktualizujte na verzi 6.5.0 nebo novější

Rozšíření Event Gallery (Core i Extended) ve verzích starších než 6.5.0 obsahuje několik bezpečnostních nedostatků. Nejvážnější z nich může přihlášenému uživateli s oprávněním ke správě Event Gallery umožnit mazání složek, do kterých může webový server zapisovat. V krajním případě může být ohrožen celý web.

Verze 6.5.0 opravuje následující zranitelnosti:

  • CVE-2026-97164: průchod adresářovou strukturou při mazání mezipaměti, který mohl vést k odstranění souborů a složek mimo určené umístění.
  • CVE-2026-97165: odražené XSS a otevřené přesměrování na stránce pro nahrávání souborů.
  • CVE-2026-100747: chybějící kontrola bezpečnostního tokenu při nahrávání obrázků; útočník mohl přimět přihlášeného uživatele k nahrání nebo přepsání souboru.
  • CVE-2026-100748: manipulace s obsahem košíku bez kontroly bezpečnostního tokenu.
  • CVE-2026-100749: chybějící ochrana u administračních funkcí pro čištění databáze.

Aktualizace zároveň zpřísňuje další administrační a AJAXové operace a mění způsob vytváření identifikátorů košíků a objednávek. Starší košíky a objednávky si však původní identifikátory ponechají.

Důležité: Event Gallery 6.5.0 vyžaduje Joomla 5.4 nebo Joomla 6. Pokud používáte vlastní přepis šablony upload/default.php, je nutné jej upravit, protože nahrávání nyní vyžaduje bezpečnostní token. Do doby aktualizace omezte oprávnění ke správě a úpravám Event Gallery pouze na důvěryhodné uživatele.

Modules Anywhere: aktualizujte na verzi 10.0.0 nebo novější

Regular Labs Modules Anywhere ve verzích 1.5.0 až 9.x umožňovalo autorům obsahu měnit parametry vložených modulů. U modulů pracujících s externími zdroji nebo lokálními soubory to mohlo vést k požadavkům na interní adresy serveru (SSRF) nebo ke čtení lokálních souborů. Zranitelnost je vedena jako CVE-2026-100750.

Zneužití vyžaduje oprávnění vytvářet nebo upravovat obsah. Podle dodavatele se problém týká především placené edice Pro, protože přepis parametrů je její funkcí. Nástroje pro kontrolu zranitelností však nemusí mezi edicemi Free a Pro podle čísla verze rozlišovat.

Verze 10.0.0 ve výchozím nastavení povoluje přepis parametrů jen z důvěryhodných komponent a modulů. Aktualizace proto může změnit chování existujících značek Modules Anywhere. Po instalaci zkontrolujte nastavení Process Tags a případné další zdroje povolte pouze tehdy, pokud je skutečně potřebujete a považujete je za důvěryhodné.

Doporučený postup pro správce webu

  1. Zkontrolujte, zda webové stránky používají Event Gallery nebo Modules Anywhere a jakou mají verzi.
  2. Před aktualizací vytvořte ověřenou zálohu webu a databáze.
  3. Aktualizujte Event Gallery nejméně na 6.5.0 a Modules Anywhere nejméně na 10.0.0.
  4. Otestujte nahrávání v Event Gallery a všechny stránky využívající značky Modules Anywhere.
  5. Zkontrolujte oprávnění autorů, editorů a administrátorů a odeberte nepotřebné přístupy.

Bezpečnostní aktualizace doporučujeme provést co nejdříve. Pokud si nejste jistí kompatibilitou rozšíření nebo verzí Joomla, nejprve aktualizaci otestujte na kopii webu.

Zdroje: Event Gallery – přehled zranitelností, Modules Anywhere – přehled zranitelnosti.