Bezpečnostní problémy - JCE, SP Pagebuilder, iCagenda

Ahoj,

s největší pravděpodobností díky AI jsou zde nástroje, které rychle objevují bezpečnostní chyby, v poslední době to jsou:

JCE
forum.joomla.de/thread/23624-neues-siche...f%C3%BCr-jce-editor/

SP Pagebuilder:
www.joomshaper.com/forum/question/45152

a iCagenda
mysites.guru/blog/icagenda-zero-day-file-upload-rce/

Pokud používate tato rozšíření, je potřeba je co nejdříve aktualizovat.

Díky AI nástrojům se takové problémy budou objevovat čím dál častěji, proto je dobré být připravený na možné updaty.

Tyhle aféry každého jenom otravují. Já bych všechny ty internety, AI a počítače zakázala.
Babička

Já jsem nakonec vyřešil hack přes JCE editor jeho úplným odstraněním ze systému a nahradil jsem ho TinyMCE. Mám to na historickém webu, který nelze aktualizovat ale pouze udržovat v komatu: Joomla3, Virtuemart3. Byla to fuška, protože JCE tam fungovalo jen do verze 2.9.11, vyšší verze nejely vůbec. I u toho TinyMCE jsem musel dělat core úpravy ve Virtuemartu, který tam měl natvrdo kod pro staré verze MCE. Tady pomohla AI suprově.

Vypadá to, že my, co provozujeme JCE 2.6 ještě na Joomla 1.5 jsme v klidu.

Všude se píše o JCE 2.7 - 2.9 a cesta index.php?option=com_jce&task=profiles.import vás pošle do ...

Že by se konečně vyplatilo být líný?

Ano máš pravdu, na takto starých webech je to OK. Potvrzuji z osobní zkušenosti. To bude tím, že se kdysi dělalo poctivě.

Pokud na těch webech nejsou data pod GDPR je to asi úplně jedno.
Až tam bude někdo řešit ochranu osobních údajů a že mu plují jeho osobní data internetem, tak se ukáže jak moc je to "výhodné".

xunil napsal: Pokud na těch webech nejsou data pod GDPR je to asi úplně jedno.
Až tam bude někdo řešit ochranu osobních údajů a že mu plují jeho osobní data internetem, tak se ukáže jak moc je to "výhodné".

Takže problém se týká i JCE nižší než 2.7?

Bong napsal:

xunil napsal: Pokud na těch webech nejsou data pod GDPR je to asi úplně jedno.
Až tam bude někdo řešit ochranu osobních údajů a že mu plují jeho osobní data internetem, tak se ukáže jak moc je to "výhodné".

Takže problém se týká i JCE nižší než 2.7?

Myšleno obecně. To že na WinXP nevycházejí záplaty neznamená že jsou ok, ale že už na to nikdo nikdy nešáhne. Že tam bude něco špatně s časem jen roste. Pokud je to web o chovu domácího živočicha, pak je to úplně jedno. Jestliže jsem ale zodpovědný za chod webu jako majitel a vysloužím si pěknou pokutu, nepodělím se o ní?

Bong napsal: Takže problém se týká i JCE nižší než 2.7?

Podle mých info (neručím za to) se problém týká od verze 2.7.x. Netýká se to verzí 2.6.x a starších v default konfiguraci.

Podstatou je chyba řízení přístupu ve funkci importu profilů JCE a útočník k jejímu zneužití nepotřebuje platné přihlašovací údaje. Speciálně upravenými požadavky na import lze obejít kontroly, vytvořit nový profil editoru, nahrát škodlivé PHP soubory a vzdáleně je spustit — fakticky nasadit webshell a získat plné vzdálené spuštění kódu. Údajně nějaký debil co to objevil, tak to hodil na GitHub.

Nejsem odborník, ale myslím, že je to k tématu a někomu by to mohlo pomoct.

AVG mi začalo na webu blokovat připojení na různé .icu domény. A to jak ve frontendu tak i backendu. Ve zdrojovém kódu stránky jsem našla obfuskovaný JavaScript s ID "jmtouch", který byl vložený přímo do souborů šablon.

Stejný kód se nacházel v:

• templates/cassiopeia/index.php
• templates/cassiopeia_ainny/index.php
• administrator/templates/atum/index.php

Po odstranění celého bloku <script id="jmtouch">...</script> ze všech těchto souborů a aktualizaci JCE problém zmizel. AVG už několik dní nic nehlásí a skript se znovu neobjevil.

Zajímavé je, že soubory s vloženým kódem měly stejné datum změny (15. 6. 2026 13:10), přestože jsem v té době nebyla u počítače. To spolu s informacemi o zranitelnosti JCE 2.7.x naznačuje, že mohlo jít o automatizované zneužití této chyby.
Pokud někdo řeší podobné hlášky antiviru na .icu domény, doporučuji zkontrolovat soubory šablon na výskyt jmtouch
nebo jiného obfuskovaného JavaScriptu vloženého do <head>.

P.S.: VirusTotal, Quttera a další online kontroly web označovaly jako čistý. Na problém upozornilo až AVG blokováním .icu domén při načítání stránek.

Ainny patří dík za průzkum. Nestačí jen odinstalovat JCE a nainstalovat poslední. Je vidět, že to tam někde je.
Používám NoScript a u jednoho webu přibyly nějaký skripty na  …clicknaqlzdpq.com a  …whitellllshop.icu, Jdu hledat.
J 5.4.6 a mám tam i SPbuilder.

Měl jsem jmtouch v souborech index šablon taky.

Zatím se ale na webu objevují. Cache jsem vyprázdnil. Počkám.

Mně v první chvíli web ve Firefoxu ani nenaskočil + plus se objevilo varování od AVG. Po vymazání mezipaměti šel web normálně, nicméně po nějaké době se AVG ozvalo znovu. Web fungoval bez problémů, ale nebýt toho antiviru, tak bych si myslela, že je vyřešeno. Adresy, na které přesměrovával byly two.followfromapps.icu a druhý den rm.blackkkkdate.icu. Takže jsem si všechny tři index.php pro jistotu stáhla a v administraci pak celý skript vymazala. Zdejší fórum (díky!) mě pak nasměrovalo na JCE a aktualizaci. 

Pro případné hledání hacku je ideální mít nainstalované Admin Tools a v nich pravidelně po aktualizaci spouštět kontrolu změn souborů. Jednoduše pak spustíte kontrolu změn a vypadnou vám soubory, ve kterých se něco změnilo. Popř. Akeeba Panopticon nabízí kontrolu souborů jádra, vyplivne soubory z instalace Joomly, které jsou pozměněné.

Pokud jste tam nějaký hack měli, tak vzhledem k povaze té bezpečnostní chyby doporučuji změnit hesla do databáze, administrace, apod. Pokud máte na webu uživatele, měli by jste je informovat o možném úniku dat, správně asi i ÚOOÚ.

Momentálně probíhá útok na webové stránky s neaktualizovaným SP Pagebuilderem - jsou napadány i starší verze.

Kontrolujte hlavně adresáře nebo soubory v /media/com_sppagebuilder/assets/iconfont