Gridbox dla Joomla: SQL injection bez uwierzytelnienia (CVE-2026-102788)
W rozszerzeniu Gridbox (balbooa.com) dla Joomla opublikowano podatność CVE-2026-102788 (CVSS 9.3). Na stronach listy produktów wartość parametru sort-by trafia do GridboxHelper::getBlogPosts() i jest wstawiana do ORDER BY bez sprawdzenia z listą dozwolonych wartości.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony na Joomla z rozszerzeniem Gridbox w wersji poniżej 2.20.4.2. Atak nie wymaga uwierzytelnienia.
Jak sprawdzić u siebie
W panelu administracyjnym Joomla otwórz Rozszerzenia → Zarządzaj i znajdź Gridbox. Jeśli wersja jest niższa niż 2.20.4.2, strona jest podatna.
Jak naprawić
Poprawka jest dostępna: zaktualizuj Gridbox do wersji 2.20.4.2 lub nowszej.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności w atakach nie zostały jeszcze ujawnione. Źródło: NVD (CVE-2026-102788).
