Balbooa Gridbox: vulnerabilitats crítiques fins a la 2.20.1
Versió segura: Balbooa Gridbox 2.20.2 o superior · via Balbooa (account required)
D'un cop d'ull
com_gridbox)De què es tracta?
Balbooa Gridbox és un constructor de pàgines per a Joomla del mateix desenvolupador que Balbooa Forms. A les versions fins a la 2.20.1 inclosa s'hi han fet públiques diverses vulnerabilitats de seguretat greus, set de les quals tenen identificador CVE propi.
Tres arriben a la puntuació màxima de 10 sobre 10: una escalada de privilegis que permetia crear un compte d'administrador sense iniciar sessió (CVE-2026-65884), el restabliment de la contrasenya de qualsevol altre usuari (CVE-2026-65887) i la presa de control de comptes existents (CVE-2026-65888). A tot això s'hi afegeixen un accés a fitxers sense autenticació, una injecció SQL i una comprovació de permisos que es podia eludir.
Aquest és el punt decisiu: amb aquestes vulnerabilitats, actualitzar no sempre n'hi ha prou. Si el teu lloc web ha funcionat un cert temps amb una versió fins a la 2.20.1, pot ser que ja hi hagi un compte d'administrador creat d'amagat. L'actualització tanca la via d'entrada, però un compte que ja existeix hi continua fins que l'elimines.
M'afecta a mi? – Com comprovar-ho
- Obre el backend
Inicia la sessió a l'administrador de Joomla.
- Comprova la versió
Obre Extensions›Gestiona›Gestiona i filtra per «Gridbox». Si la versió és la 2.20.1 o anterior, el lloc web és vulnerable.
- Revisa la llista d'usuaris
Obre Usuaris›Gestiona i busca comptes que no hagis creat tu, sobretot els que tinguin un nom d'usuari estrany i una adreça de correu d'un sol ús. No n'esborris cap a cegues: comprova-ho primer.
- Repassa les extensions
A Extensions›Gestiona, revisa també la llista de connectors per si hi ha entrades que no hagis instal·lat mai.
Com solucionar la vulnerabilitat
- Abans d'actualitzar: fes una còpia de seguretat
Fes una còpia de seguretat dels fitxers i de la base de dades abans d'actualitzar.
- Obre el centre d'actualitzacions
Vés a Sistema›Actualitza›Extensions i fes clic a Cerca actualitzacions.
- Actualitza Gridbox
Selecciona l'entrada i actualitza a la 2.20.2 o superior. Amb la 2.20.1 no n'hi ha prou.
- Després: comprova els comptes
Un cop feta l'actualització, repassa la llista d'usuaris: un compte creat abans no desapareix tot sol.
Descàrrega oficial: via Balbooa (account required). Assegura't de tenir com a mínim Balbooa Gridbox 2.20.2 o superior.
Ja han atacat el teu lloc web?
Necessites ajuda amb la neteja? Trobaràs professionals qualificats al Directori de proveïdors de serveis de Joomla.
Fonts & més informació
- CVE-2026-65884 – escalada de privilegisGravetat 10 sobre 10
- CVE-2026-65887 – restabliment de contrasenyes d'altres usuarisGravetat 10 sobre 10
- CVE-2026-65888 – presa de control de comptesGravetat 10 sobre 10
- Balbooa (desenvolupador)Obtenció de la versió segura 2.20.2
Sempre preval la informació oficial de cada desenvolupador. Aquesta pàgina resumeix de manera neutral informació disponible públicament.
Vulnerabilitats similars
Altres extensions amb vulnerabilitats semblants. Comprova si en tens alguna instal·lada al teu lloc web.
Col·laboradors d'aquest lloc web
htprotect.org és un servei d'informació gratuït i independent de qualsevol desenvolupador. Compta amb el suport de:
Proveïdor d'allotjament Joomla d'Alemanya amb suport actiu a la comunitat – va detectar el primer atac contra la vulnerabilitat de JCE.
fc-hosting.de
Especialitzada en la neteja, el manteniment i la protecció de llocs web Joomla i WordPress.
website-bereinigung.deDona suport a aquest projecte
Ofereixes serveis d'allotjament o de Joomla i vols donar suport a htprotect.org – i aparèixer aquí com a col·laborador? Cada aportació ajuda a avisar i a protegir més de pressa els afectats.
Prefereixes col·laborar en privat, sense aparèixer a la llista? Una petita aportació a la guardiola del cafè ens fa la mateixa il·lusió.
Fabricació i muntatge de cartells d'obra, tanques d'obra i solucions de façana – amb disseny i visualització en 3D inclosos.
bauschildundservice.deSuport informàtic professional des de Txèquia – gestió de Windows, administració de dominis i allotjament web.
defendersoft.cz
Portal de viatges d'Alemanya – viatges combinats, hotels i vols en línia, amb assessorament personal d'agència de viatges.
onlineweg.de
Agència creativa de Brandenburg – disseny web, mitjans impresos, fotografia i panoràmiques de 360° d'un sol proveïdor.
criadero.deProveïdor de serveis informàtics de Wächtersbach – llocs web Joomla, servei tècnic de PC, maquinari i programari.
jahnedv.de
Consultoria de seguretat de la informació de Berlín – anàlisis de seguretat, gestió de riscos i ISO 27001 per a pimes.
isari-consult.de