Gridbox para Joomla: injeção de SQL sem autenticação (CVE-2026-102788)
Uma vulnerabilidade, CVE-2026-102788 (CVSS 9.3), foi publicada na extensão Gridbox (balbooa.com) para Joomla. Nas páginas de lista de produtos da loja, o parâmetro de URL sort-by é passado para GridboxHelper::getBlogPosts() e inserido no ORDER BY sem verificação em lista de permissões.
Verificado no Shield: sim
Quem é afetado
Sites Joomla com versões do Gridbox anteriores à 2.20.4.2. Nenhuma autenticação é necessária para explorar a falha.
Como verificar
No painel de administração do Joomla, abra Extensions → Manage e localize o Gridbox. Se a versão for anterior à 2.20.4.2, o site está vulnerável.
Como corrigir
Já existe correção: atualize o Gridbox para a versão 2.20.4.2 ou posterior.
O que o Shield verifica grátis, mais a fundo na verificação paga
Se o código da página mostra rastros do Gridbox (com_gridbox), o Shield lê a versão no manifesto público da extensão e compara com a 2.20.4.2. Grátis. Na verificação paga, o manifesto é lido mesmo quando a página não mostra rastros. Se o manifesto estiver fechado, o Shield mostra um aviso para você conferir a versão.
Bom saber
Ainda não foi divulgado se a falha está sendo explorada na prática. Fonte: NVD (CVE-2026-102788).
