Joomla Wysoka CVE-2025-25226 11 lutego 2025

Joomla: SQL injection w pakiecie bazy danych

Joomla Framework Database < 2.2.0 / < 3.4.0

Błędna obsługa identyfikatorów w metodzie quoteNameStr pakietu bazy danych prowadziła do SQL injection. Zaktualizuj bibliotekę/CMS do 2.2.0 lub 3.4.0.

Boisz się, że ta luka jest na Twojej stronie? Sprawdź to za darmo w kilkadziesiąt sekund albo od razu zleć nam naprawę i zabezpieczenie.
Sprawdź swoją stronę → Napraw z nami

Kogo dotyczy

Podatność dotyczy: Joomla Framework Database < 2.2.0 / < 3.4.0. Jeśli korzystasz z tego komponentu na swojej stronie, sprawdź wersję i zaktualizuj go jak najszybciej.

Jak groźne

Ocena: Wysoka. Warto zareagować, zanim luka zostanie wykorzystana.

Co zrobić

  • Zaktualizuj podatny komponent do najnowszej wersji.
  • Jeśli poprawka jeszcze nie wyszła, tymczasowo wyłącz podatny element.
  • Sprawdź, czy strona nie została już zaatakowana: nietypowe pliki, nowe konta administratorów, przekierowania.
  • Zrób kopię zapasową, zanim zaczniesz wprowadzać zmiany.

Nie chcesz robić tego sam? Zajmiemy się aktualizacją, sprawdzeniem śladów włamania i zabezpieczeniem strony. Napisz do nas →

Jak się chronić → Przeskanuj swoją stronę → Szczegóły techniczne (NVD) ↗

Najczęstsze pytania

Czy ta luka dotyczy mojej strony?

Dotyczy stron, które używają Joomla Framework Database < 2.2.0 / < 3.4.0. Sprawdź, czy masz ten komponent i w jakiej wersji, luka obejmuje tylko podatny zakres wersji. Możesz to sprawdzić w kilkadziesiąt sekund naszą darmową sprawdzarką podatności.

Jak sprawdzić, czy mam podatną wersję?

W panelu administracyjnym (w WordPressie: Wtyczki / Motywy) sprawdź zainstalowaną wersję Joomla Framework Database < 2.2.0 / < 3.4.0 i porównaj ją z informacją producenta, która podaje wersję z poprawką. Jeśli jest niższa albo nie masz pewności, użyj naszej sprawdzarki, która odczytuje wersje widoczne w kodzie strony.

Jak pilna jest reakcja?

To luka o wadze „Wysoka", potraktuj ją pilnie, groźne podatności bywają wykorzystywane automatycznie już w godzinach od ujawnienia. Zaktualizuj jak najszybciej.

Co, jeśli poprawka jeszcze nie wyszła?

Zanim pojawi się łatka, ogranicz ryzyko: tymczasowo wyłącz podatny komponent, ogranicz dostęp do dotkniętej funkcji albo dodaj regułę WAF blokującą podatne żądanie. Miej aktualną kopię zapasową poza serwerem i obserwuj ślady włamania.

Czy sama aktualizacja wystarczy?

Jeśli strona nie została jeszcze zaatakowana, aktualizacja do wersji z poprawką zamyka lukę. Jeśli są już ślady włamania (nieznane pliki, nowe konta administratora, przekierowania), sama aktualizacja nie cofa włamania, trzeba dodatkowo wyczyścić stronę oraz wymienić hasła i sole (salts) WordPressa.

Nie zgaduj, sprawdź

Czy ta luka dotyczy Twojej strony?

Zrobimy bezpłatny audyt: sprawdzimy wersje, wtyczki i konfigurację, i powiemy wprost, czy jesteś bezpieczny.

Zamów bezpłatny audyt →