Gridbox 2.20.4.0 z 8 października 2026 r. usuwa dwa kolejne problemy bezpieczeństwa. Jeden dotyczy kontroli tokenu przy instalowaniu języka w panelu, drugi sprawdzania ścieżki pliku podczas podglądu obrazu. Wcześniejsza wersja 2.20.3.1 nie zawiera tych poprawek. Jeżeli niedawno aktualizowałeś Gridbox po luce SQL injection w filtrze autora, sprawdź go ponownie.
Dla tych dwóch zmian nie znaleźliśmy opublikowanego numeru CVE ani oficjalnego wyniku CVSS. Opis ryzyka instalacji języka zakłada, że atakujący nakłoni zalogowanego Super Usera do otwarcia przygotowanej strony. Nie jest to atak, który niezalogowany gość może wykonać samym wejściem na adres Gridbox.
Joomla Guru może wykonać kopię, aktualizację Gridbox i test strony. Jeśli widzisz nieznane rozszerzenia lub konta administratorów, potrzebna może być analiza i usunięcie skutków włamania.
Co zmienia 2.20.4.0?
| Obszar | Znaczenie poprawki |
|---|---|
| Instalacja języka | Żądanie administratora musi przejść kontrolę tokenu formularza. Wcześniejsza luka typu CSRF mogła wykorzystać aktywną sesję Super Usera do uruchomienia instalacji pakietu. |
| Podgląd obrazów | Dokładniejsze sprawdzanie ścieżki ogranicza podgląd do skonfigurowanego katalogu multimediów. Opis dotyczy obrazów; nie potwierdza odczytu configuration.php. |
Pierwsza luka wymaga interakcji zalogowanego administratora o wysokich uprawnieniach. Jeżeli doszło do wykonania przygotowanego żądania, sprawdź listę zainstalowanych rozszerzeń. Druga poprawka dotyczy granicy katalogu, z którego podgląd może odczytać obraz. Nie przypisujemy jej szerszego dostępu do plików serwera bez dodatkowych dowodów.
Którą wersję instalować?
Aktualizuj do 2.20.4.0 także z 2.20.3.1. Starsze wydania mają wcześniej opisane problemy: SQL injection w filtrze autora oraz poważne luki naprawione w 2.20.2. Ta aktualizacja nie oznacza, że wszystkie błędy pojawiły się dopiero w 2.20.3.1.
- Zapisz obecny numer Gridbox oraz wersję Joomla i wykonaj pełną kopię.
- Otwórz informację o wydaniu 2.20.4.0 u Balbooa →. Pakiet pobierz przez konto producenta lub oficjalną stronę Gridbox →; edycja Pro wymaga aktywnej subskrypcji.
- Zaktualizuj rozszerzenie i potwierdź numer 2.20.4.0 w menedżerze Joomla. Jeżeli monit jeszcze się nie pojawia, sprawdź dostępność ręcznie.
- Przetestuj edytor, podgląd obrazów, języki oraz najważniejsze strony zbudowane w Gridbox.
Publiczny komunikat producenta był niedostępny dla naszej automatycznej weryfikacji (HTTP 403). Szczegóły obu poprawek potwierdziliśmy w opisie ujawnienia, ale nie porównaliśmy samodzielnie pakietów 2.20.3.1 i 2.20.4.0. Dlatego nie podajemy własnej oceny CVSS ani szerszego zakresu skutków.
Źródła
FAQ
