Drupal opravuje kritickou chybu ve Field UI, Joomla vydala verzi 6.2 a Payload 4 vstoupil do bety. Přidávám bezpečnostní aktualizace Backdropu a TYPO3 i menší změny v Ghostu, Strapi a Sanity. Přehled z 9. – 16. října 2026 jsem sestavil z týdenního monitoringu.

Drupal opravuje kritickou chybu ve Field UI

Drupal vydal 14. října bezpečnostní aktualizace 11.4.10, 11.3.19 a 10.6.19. Nejzávažnější problém, CVE-2026-108097, zasahuje modul Field UI pro správu polí. Bezpečnostní tým mu přidělil hodnocení Critical, 19 bodů z 25.

Chyba vede ke vzdálenému spuštění kódu, ale samotné jádro k jejímu zneužití nestačí. Útok potřebuje další funkcionalitu z komunitních modulů nebo vlastního kódu. Tým potvrdil několik nebezpečných kombinací; nejméně jedna nevyžaduje přihlášení. Podrobnosti popisuje SA-CORE-2026-014.

Právě tuhle podmínku považuji za důležitou. Není přesné označit každou instalaci s Field UI za přímo zneužitelnou. Stejně tak bych ale bez rozboru konkrétního webu nepředpokládal, že se ho problém netýká. Pokud aktualizaci nestihnete ihned, tým doporučuje dočasně odinstalovat field_ui. Drupal Steward pokrývá jen některé známé cesty útoku.

Stejné verze opravují také XSS v modulech Link a Navigation. U Navigation útočník potřebuje právo vkládat HTML se specifickými datovými atributy nebo spravovat menu.

Na webech klientů, kde máme domluvenou pravidelnou správu, a na svých projektech jsem aktualizace instaloval hned ve středu večer. Jednou z věcí, kterou mám na Drupalu rád, že předvídatelnost zveřejnění bezpečnostních záplat ze strany security týmu.

Zkontrolujte i Entity List

Ve stejný den vyšlo kritické upozornění na Entity List, modul pro seznamy entit bez Views. Také zde zneužití vyžaduje kombinaci s další funkcionalitou a existuje cesta bez přihlášení. Opravu přináší Entity List 3.0.10. Při kontrole bych tedy nezůstal u jádra; podobně jsem na význam rozšíření upozorňoval v přehledu oprav Webformu a problémů s Twigem.

Backdrop řeší SVG i přístup k soukromým obrázkům

Backdrop vydal 14. října verze 1.35.2 a 1.34.6 se třemi bezpečnostními opravami. Kritická chyba se týká nedostatečné kontroly SVG. Útočník potřebuje oprávnění SVG nahrát a oběť musí soubor otevřít přímo přes jeho URL. Běžné vložení pomocí značky img spuštění skriptu blokuje.

Druhá oprava chrání odvozené varianty soukromých obrázků. Problém zasahuje weby s doplňkovým souborovým schématem pro privátní obrázky, nikoli základní schéma private://. Třetí chyba zpřístupňovala typy tokenů ve výběrovém dialogu; názvy jednotlivých tokenů zůstávaly chráněné.

U Backdropu bych si pohlídal i dokončení aktualizace: release notes výslovně požadují spuštění core/update.php. Vlastní úpravy .htaccess, robots.txt a settings.php kvůli této verzi nahrazovat nemusíte. Nové instalace navíc dostávají přísnější výchozí pravidla pro hesla.

Joomla 6.2 sjednocuje editor a přidává OAuth pro SMTP

Joomla 6.2.0 Mwezi vyšla 13. října. TinyMCE nově používá výběr médií Joomly, společný dialog pro odkazy a tlačítko pro oddělení úvodní části článku. Ve výchozím nastavení také respektuje textové filtry CMS.

Při čtení změn bych vyzdvihl právě sjednocení filtrů. Když editor a CMS posuzují HTML podle různých pravidel, redaktor obtížně odhaduje, co po uložení zůstane. Společné nastavení tuto nejasnost omezuje.

Další novinka přináší XOAuth2 pro SMTP. Poskytovatel pošty předá Joomle obnovovací token, přes který si systém vyžádá krátkodobé přístupové tokeny. Odpadá ukládání hesla k poštovnímu účtu. Podpora má praktický význam třeba u Microsoftu 365 a Google Workspace.

Vývojáři rozšíření také získali označení bezpečnostních aktualizací podle závažnosti, které administrace zvýrazní. Přechod z Joomly 5.4 na 6.2 projekt popisuje jako aktualizaci bez migrace obsahu. Plugin zpětné kompatibility pomáhá se staršími rozšířeními, kontrolu konkrétní šablony a doplňků bych přesto nevynechal.

Payload 4 vstoupil do bety a přidává podporu TanStacku

Payload vydal 9. října první betu čtvrté generace. Do konce sledovaného období následovala beta.2. Mezi novinkami najdete přepracovanou administraci, podporu TanStacku, hierarchie, štítky, zobrazení médií v mřížce i verzování nahraných souborů.

TanStack je rodina open-source nástrojů pro vývoj webových aplikací. Patří do ní například knihovny pro práci s daty, tabulkami nebo navigací mezi stránkami. V souvislosti s Payloadem jde konkrétně o TanStack Start, framework, který kolem Reactu zajišťuje i serverovou část aplikace.

TanStack Start staví na TanStack Routeru pro obsluhu adres a navigace. Přidává vykreslování stránek na serveru a funkce, které aplikace spouští na serveru z kódu svého rozhraní. V projektu tak zastává podobnou roli jako Next.js. Payload se dál stará o obsah, jeho strukturu a oprávnění; Start poskytuje základ aplikace, ve které CMS běží.

Nejvíc mě zajímá podpora dalšího aplikačního základu vedle Next.js. Vnímám ji jako příslib větší volnosti při návrhu projektu. Ze seznamu funkcí ale ještě nevyvozuji, že přechod existující aplikace mezi frameworky proběhne bez práce.

Payload přepsal také MCP, rozhraní pro komunikaci AI asistentů s CMS. Pro migraci z řady 3 nabízí klasické automatické úpravy kódu i variantu s pomocí agenta. Pro mě je podstatné, že se automatizace posouvá také k údržbě projektu, nejen k psaní obsahu. Stále jde o betu se zpětně nekompatibilními změnami. Na produkční nasazení bych zatím nespěchal.

Payload 3.91 mění požadavky na prostředí

Pro stávající projekty je bezprostředně důležitější Payload 3.91.0 z 15. října. Zvyšuje minimum na Node.js 20.18.1; Azure Storage adaptér vyžaduje Node.js 22. Adaptér pro e-maily přechází na Nodemailer 10. Pokud předáváte vlastní transport z verze 9, upravte závislost a odstraňte @types/nodemailer. Před aktualizací bych proto vedle aplikace ověřil i prostředí hostingu.

TYPO3 opravuje ukládání příloh formulářů

TYPO3-CORE-SA-2026-024 popisuje chybu ve Form Frameworku, kterou 13. října opravilo TYPO3 14.3.9 LTS. Verze 14.0.0 až 14.3.8 ignorovaly za popsaných podmínek vlastní cíl saveToFileMount u FileUpload a ImageUpload. Přílohy pak skončily ve výchozím 1:/user_upload/.

Pokud správce zamýšlel neveřejné úložiště, soubory tak skončily na veřejně dostupném místě bez příslušných kontrol přístupu. Formulářů s výchozí hodnotou nastavení se problém netýká.

Tady bych k aktualizaci přidal kontrolu skutečného umístění starších příloh. Jde o můj praktický závěr z popisu chyby: oprava budoucího ukládání sama nepotvrzuje, že dříve nahrané dokumenty leží tam, kde mají. U formulářů s citlivými přílohami je tento rozdíl zásadní.

Ghost rozlišuje uvítací sekvence podle předplatného

Ghost 15. října přidal uvítací e-mailové sekvence podle úrovně členství. Automatizace cílí na jeden placený tarif nebo jejich kombinaci. Vedle společné sekvence pro platící členy tak spustíte další zprávy pouze pro konkrétní předplatné, například s přístupem k členskému podcastu.

Praktický dopad vidím v návaznosti na obsah zakoupené služby. Uvítání má čtenáři vysvětlit právě výhody jeho tarifu; jednotná zpráva pro všechny je často příliš obecná. Automatizace ale zůstávají v betě a vyžadují zapnutí v Settings → Labs. Na vlastním hostingu potřebujete také aktuální Ghost.

Strapi rozšiřuje auditní logy administrace

Strapi 5.58.0 ze 14. října zaznamenává do auditních logů neúspěšná přihlášení administrátorů a automatickou registraci přes SSO. Přidává přehled licence a diagnostický výpis pro podporu. Opravuje také práci s relacemi a aktualizuje Axios a Handlebars kvůli bezpečnostním upozorněním.

Při posuzování této změny bych rozlišoval dostupnost aktualizace a dostupnost funkce. Auditní logy patří do Enterprise plánu, běžná komunitní instalace je samotným přechodem na 5.58 nezíská. Pro správce, kteří je používají, mají neúspěšná přihlášení smysl: historie změn obsahu totiž neukazuje, kdo se do administrace opakovaně snažil dostat.

Sanity upravuje načítání Studia a typy pro jednotlivé datasety

Sanity Studio 6.19.0 z 13. října přidává middleware pro přednačítání komponent a opravuje problikávání částí rozhraní při startu. Řeší také souběžný provoz více instancí Studia na jedné stránce. Jde o úpravy počátečního načítání, nikoli o příslib zrychlení každé operace administrace.

React App SDK 3.9.0 přidává beta podporu TypeGenu pro jednotlivé datasety. Vývojář vygeneruje oddělené TypeScript typy pro každé datové prostředí; SDK je vybírá podle projektu a datasetu. To pomáhá tam, kde obsahová schémata nejsou shodná.

Z těchto změn bych při plánování práce oddělil opravy rozhraní od experimentálního API. Nové typování přináší přesnější kontrolu aplikace, ale Sanity zatím nezaručuje stabilitu jeho rozhraní ani mezi menšími vydáními. Zapojení do projektu proto znamená také průběžné sledování kompatibility.

K Payloadu 4 se chci vrátit v samostatném článku. Zajímá mě, nakolik podpora TanStack Startu změní práci s CMS, které se v předchozí generaci úzce propojilo s Next.js. To už je téma, které si zaslouží víc prostoru než několik odstavců v týdenním přehledu.