Gridbox para Joomla: inyección SQL sin autenticación (CVE-2026-102788)
Se publicó una vulnerabilidad, CVE-2026-102788 (CVSS 9.3), en la extensión Gridbox (balbooa.com) para Joomla. En las páginas de lista de productos de la tienda, el parámetro de URL sort-by se pasa a GridboxHelper::getBlogPosts() y se inserta en ORDER BY sin verificar una lista de valores permitidos.
Revisado en Shield: sí
Quién está afectado
Sitios Joomla con versiones de Gridbox anteriores a la 2.20.4.2. No se requiere autenticación para explotarla.
Cómo comprobar
En el panel de administración de Joomla, abre Extensions → Manage y busca Gridbox. Si la versión es inferior a la 2.20.4.2, el sitio es vulnerable.
Cómo corregirlo
Hay una corrección disponible: actualiza Gridbox a la versión 2.20.4.2 o posterior.
Qué comprueba Shield gratis, más a fondo en el análisis de pago
Si el código de la página muestra rastros de Gridbox (com_gridbox), Shield lee la versión del manifiesto público de la extensión y la compara con 2.20.4.2. Gratis. En el análisis de pago, el manifiesto se lee aunque la página no muestre rastros. Si el manifiesto está cerrado, Shield mostrará un aviso para que revises tu versión.
Conviene saber
Aún no se divulga si la vulnerabilidad se explota activamente. Fuente: NVD (CVE-2026-102788).
