Gridbox 2.20.4.2 usuwa SQL injection w sortowaniu listy produktów oraz brak kontroli uprawnień w zadaniu edytora. Obie ścieżki były dostępne bez logowania. CVE-2026-102788 i CVE-2026-102789 mają po CVSS 4.0: 9,3 (krytyczna).
Rekordy obejmują wydania od 1.0.0 do 2.20.4.1. Poprawkę opublikowano 27 października 2026 r. Jeżeli zainstalowałeś niedawno 2.20.4.0 lub 2.20.4.1, zaktualizuj ponownie. To odrębne błędy od opisanych przez nas poprawek CSRF i podglądu obrazów w 2.20.4.0.
Joomla Guru może wykonać kopię, aktualizację Gridbox i test sklepu. Jeśli podejrzewasz wcześniejsze wykorzystanie luk, pomagamy w analizie incydentu i usuwaniu skutków włamania.
Spis treści
Dwie drogi do niebezpiecznego zapytania
| CVE | Miejsce | Problem |
|---|---|---|
| 102788 | Lista produktów sklepu | Parametr sort-by trafiał do ORDER BY bez zamkniętej listy dopuszczonych wartości. |
| 102789 | EditorController::getBlogPosts() | Brakowało kontroli poziomu uprawnień edytora przed wykonaniem zadania. |
W pierwszym przypadku filtr tekstowy nie wystarczał do zabezpieczenia części zapytania SQL sterującej sortowaniem. W drugim zadanie nie wywoływało kontroli checkUserEditLevel(), obecnej w innych operacjach kontrolera. Dzięki temu istniała kolejna publiczna droga do funkcji pobierającej wpisy.
Praktyczne ryzyko dotyczy nieuprawnionego dostępu do danych przez zapytanie bazy. Nie wywodzimy z samego wyniku CVSS, że w tej konkretnej luce potwierdzono zapis dowolnych plików albo wykonanie PHP. Brak potrzeby logowania wystarcza jednak, aby potraktować wdrożenie jako pilne.
Co zmienia producent?
Balbooa potwierdza listę dopuszczonych sposobów sortowania i brakującą kontrolę uprawnień. Producent przypisuje zgłoszenie Arturowi Błażewiczowi, a koordynację ujawnienia Davidowi Jardinowi z Joomla Security Strike Team.
To następny etap aktualizacji, a nie powód do pozostania na poprzednim wydaniu naprawczym. Wcześniej opisywaliśmy też SQL injection w filtrze autora. Każdy z tych problemów wymaga swojej poprawki; obecnym wskazanym wydaniem jest 2.20.4.2.
Jak zaktualizować i co sprawdzić?
Gridbox: konto, licencja i pobieranie producenta →
Użyj aktualizatora Gridbox lub pakietu z uprawnionego konta Balbooa. Nie ma potwierdzonego publicznego adresu ZIP do umieszczenia w artykule. Jeśli monit jeszcze się nie pojawił, sprawdź dostępność ręcznie.
- Wykonaj pełną kopię i zanotuj numer Gridbox.
- Zainstaluj 2.20.4.2 i potwierdź numer komponentu po operacji.
- Przetestuj listę produktów, wszystkie dostępne sposoby sortowania, paginację oraz listy wpisów w edytorze.
- Przy podejrzeniu ataku sprawdź logi żądań i zdarzenia w bazie. Nie ograniczaj kontroli do szukania nowych plików na serwerze, bo SQL injection dotyczy również danych.
Źródła
FAQ
