本周我们连续分析了 Helix Ultimate 的存储型 XSS、Gridbox 的四个漏洞和 Sourcerer 与 Articles Anywhere 的组合授权缺口。但 11 月第一周披露的 CVE 还剩两组没有专门写过：DJ-Classifieds 的跨账户 IDOR 和 Tassos ACF/Smile Pack 的双漏洞。今天把它们补齐，并汇总成一张覆盖本周全部五组修复的版本核查表——建议逐行对照，周五更新窗口前完成。

DJ-Classifieds：一个"复制广告"按钮引发的 IDOR

CVE-2026-105605（11 月 2 日入库）出在分类广告扩展 DJ-Classifieds 的"复制我的广告"便利功能上：新建广告表单会按 URL 里的裸数字 ID 加载一条现有广告，既不检查广告是否属于当前用户，也不管它是已发布、已屏蔽还是已过期状态。结果是低权限用户可以跨账户读到他人广告的全部内容（CVE 记录定级 CWE-639 IDOR）。受影响版本为 3.11.3 之前的所有版本，修复版是 3.11.3。做分类信息、二手交易类站点的中文用户对这个扩展不会陌生——这类站点恰恰用户基数大、数据敏感度高，优先升级。

Tassos ACF 与 Smile Pack：同一个框架，两个洞

自定义字段框架 Advanced Custom Fields（Joomla 版）和 Smile Pack 在 11 月 4 日发布的版本里修复了两个 CVE（Joomla CNA 11 月 5 日公布）。CVE-2026-115452（CVSS 4.0 7.5，高危）：地图字段的标记标签存在存储型 XSS——能编辑标记的用户可以把脚本存进标签，任何打开该标记的前端访客都会执行。CVE-2026-115451（6.9，中危）：画廊字段的图片删除端点不校验身份，未登录即可删除画廊目录中的图片——包括已发布文章和模块正在使用的图片。修复版本：Joomla 4/5/6 升 ACF 3.1.9，Joomla 3 升 2.8.16（11 月 5 日补发）；Smile Pack 对应 2.1.7 和 1.2.10。两个易踩的坑：一是别和 WordPress 混淆——WP 那个同名插件（WP Engine 出品）本周也在漏洞源里，但与 Joomla 版毫无关系；二是版本号要看对地方——修复在共享框架里，请查看"System - ACF"插件（plg_system_acf）的版本，各字段插件永远显示 1.0。另外 Tassos 的框架是共享的，如果你最近更新过它家其他扩展，框架可能已是新版，但仍建议把 ACF 本体升到位使版本对齐。

本周核查表

把五组修复汇成一张表，逐行核对：

• Helix Ultimate（模板框架）→ 升 2.2.11（CVE-2026-105602，超级菜单徽章 XSS，8.6）
• Gridbox（页面构建器）→ 升 2.20.5.0（四 CVE：未认证附件删除路径穿越 8.8、表单附件 IDOR、评论/评价存储 XSS 等）
• Sourcerer + Articles Anywhere → 分别升 17.0.1 和 20.1.1（CVE-2026-102802，组合授权缺口，缺一不可）
• DJ-Classifieds → 升 3.11.3（CVE-2026-105605，跨账户 IDOR）
• ACF + Smile Pack → 升 3.1.9（J3 为 2.8.16）与 2.1.7（J3 为 1.2.10）（CVE-2026-115451/115452）

一个值得玩味的数据：mySites.guru 监测显示，ACF 3.1.9 发布 30 分钟内只有不到 1% 的站点完成更新，但 24 小时内冲到 66%——几乎全部升级发生在发布后第一天。这印证了我们反复强调的节奏：补丁的价值随时间快速衰减，发布当天升级和发布一周后升级，暴露窗口差着数量级。目前仍有约三分之一 ACF 站点停在受影响版本上。

给中文用户的建议

今天就做的事：到后台"系统 → 更新 → 扩展"把上表过一遍，五个组件全部核对版本；更新通道异常的站点手动下载安装包升级。Joomla 3 站点：注意 Tassos 的特殊版本线（ACF 2.8.16 / Smile Pack 1.2.10）——仍在维护 J3 的开发商不多了，这既是好消息也是提醒：你的平台支持链已经很短。多作者站点：本周四组漏洞里有三组（Helix 徽章、ACF 标签、Sourcerer）的攻击前提都是"有内容编辑权限的用户"——收紧编辑权限、审计现有内容里是否被植入过脚本，比升级本身更值得花时间。建站公司：把这张表直接抄进本周维护清单，更新完成后记录日期，下周的新披露来了就能立刻定位站位。

总结

一周之内五组扩展安全修复，覆盖模板框架、页面构建器、内容工具、广告组件和字段框架——这个密度在 Joomla 生态不算常态，但"每周都该核对一次版本"应该成为常态。本周的报道从 Helix 到 Sourcerer 再到今天这张清单，指向同一个结论：攻击面在扩散，而你的防御可以很简单——版本号对上，权限收紧，日志常看。11 月 24 日 6.2.1 发布后，我们还会再做一次核心版本的集中核对。