Balbooa Gridbox: επτά κενά ασφαλείας – η ενημέρωση δεν αρκεί

Με μια ματιά

Περί τίνος πρόκειται;

Το Balbooa Gridbox είναι ένα εργαλείο δόμησης σελίδων για το Joomla, από τον ίδιο κατασκευαστή με το Balbooa Forms. Στις εκδόσεις έως και την 2.20.1 έγιναν γνωστές πολλές σοβαρές ευπάθειες ασφαλείας – οι επτά από αυτές έχουν δική τους καταχώριση CVE.

Τρεις από αυτές φτάνουν στη μέγιστη βαθμολογία, 10.0 στα 10: μια κλιμάκωση δικαιωμάτων που επέτρεπε τη δημιουργία λογαριασμού διαχειριστή χωρίς σύνδεση (CVE-2026-65884), η επαναφορά του κωδικού πρόσβασης οποιουδήποτε άλλου χρήστη (CVE-2026-65887) και η κατάληψη υπαρχόντων λογαριασμών (CVE-2026-65888). Σε αυτές προστίθενται πρόσβαση σε αρχεία χωρίς σύνδεση, μια SQL injection και ένας έλεγχος δικαιωμάτων που μπορούσε να παρακαμφθεί.

Αυτό είναι το κρίσιμο σημείο: με αυτές τις ευπάθειες η ενημέρωση δεν αρκεί απαραίτητα. Αν ο ιστότοπός σας έτρεχε για κάποιο διάστημα σε έκδοση έως την 2.20.1, μπορεί να υπάρχει ήδη λογαριασμός διαχειριστή που δημιουργήθηκε κρυφά. Η ενημέρωση κλείνει την εξώπορτα – ένας λογαριασμός που έχει ήδη δημιουργηθεί παραμένει μέχρι να αφαιρεθεί.

Επηρεάζεται ο ιστότοπός μου; – Πώς θα το ελέγξετε

1. Άνοιγμα του διαχειριστικού

   Συνδεθείτε στο διαχειριστικό του Joomla.

2. Έλεγχος της έκδοσης

   Ανοίξτε Επεκτάσεις›Διαχείριση›Διαχείριση και φιλτράρετε για «Gridbox». Αν η έκδοση είναι 2.20.1 ή παλαιότερη, ο ιστότοπος είναι ευάλωτος.

3. Έλεγχος της λίστας χρηστών

   Ανοίξτε Χρήστες›Διαχείριση και αναζητήστε λογαριασμούς που δεν δημιουργήσατε εσείς – ιδίως με παράξενο όνομα χρήστη και διεύθυνση e-mail μιας χρήσης. Μη διαγράψετε τίποτα στα τυφλά· ελέγξτε πρώτα.

4. Έλεγχος των επεκτάσεων

   Στο Επεκτάσεις›Διαχείριση ελέγξτε και τη λίστα των πρόσθετων για εγγραφές που δεν εγκαταστήσατε ποτέ.

Πώς θα κλείσετε την ευπάθεια

1. Πριν από την ενημέρωση: αντίγραφο ασφαλείας

   Κρατήστε αντίγραφο ασφαλείας των αρχείων και της βάσης δεδομένων πριν ενημερώσετε.

2. Άνοιγμα του κέντρου ενημερώσεων

   Μεταβείτε στο Σύστημα›Ενημέρωση›Επεκτάσεις και πατήστε Έλεγχος για ενημερώσεις.

3. Ενημέρωση του Gridbox

   Επιλέξτε την εγγραφή και ενημερώστε στην 2.20.2 ή νεότερη. Η 2.20.1 δεν αρκεί.

4. Και μετά: έλεγχος των λογαριασμών

   Μόνο μετά την ενημέρωση, εξετάστε αναλυτικά τη λίστα χρηστών – ένας λογαριασμός που δημιουργήθηκε νωρίτερα δεν εξαφανίζεται από μόνος του.

Επίσημη πηγή λήψης: via Balbooa (account required). Βεβαιωθείτε ότι έχετε τουλάχιστον την έκδοση Balbooa Gridbox 2.20.2 ή νεότερη.

Έχει ήδη δεχθεί επίθεση ο ιστότοπος;

Χρειάζεστε βοήθεια με τον καθαρισμό; Βρείτε εξειδικευμένους επαγγελματίες στον Κατάλογο Παρόχων Υπηρεσιών Joomla.

Πηγές & χρήσιμοι σύνδεσμοι

• CVE-2026-65884 – κλιμάκωση δικαιωμάτωνΣοβαρότητα 10 στα 10
• CVE-2026-65887 – επαναφορά κωδικών άλλων χρηστώνΣοβαρότητα 10 στα 10
• CVE-2026-65888 – κατάληψη λογαριασμούΣοβαρότητα 10 στα 10
• Balbooa (κατασκευαστής)Λήψη της ασφαλούς έκδοσης 2.20.2

Υπερισχύουν πάντα τα επίσημα στοιχεία του εκάστοτε κατασκευαστή. Η σελίδα αυτή συνοψίζει ουδέτερα τις δημόσια διαθέσιμες πληροφορίες.

Παρόμοιες ευπάθειες

Άλλες επεκτάσεις με παρόμοιες αδυναμίες ασφαλείας. Ελέγξτε αν κάποια από αυτές είναι εγκατεστημένη στον ιστότοπό σας.

Υποστηρικτές αυτού του ιστότοπου

Το htprotect.org είναι μια δωρεάν, ανεξάρτητη από κατασκευαστές ενημερωτική υπηρεσία. Υποστηρίζεται από:

Πάροχος φιλοξενίας & κοινότητα

FC-Hosting

Πάροχος φιλοξενίας Joomla από τη Γερμανία με ενεργή υποστήριξη από την κοινότητα – εντόπισε την πρώτη επίθεση στην ευπάθεια του JCE.

fc-hosting.de

Εμπνευστής & διαχειριστής

Website-Bereinigung.de

Εξειδικεύεται στον καθαρισμό, τη συντήρηση και τη θωράκιση ιστότοπων Joomla και WordPress.

website-bereinigung.de

Bauschild & Service

Κατασκευή και τοποθέτηση εργοταξιακών πινακίδων, περιφράξεων εργοταξίου και λύσεων πρόσοψης – μαζί με σχεδιασμό και τρισδιάστατη απεικόνιση.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Επαγγελματική υποστήριξη IT από την Τσεχία – διαχείριση Windows, διαχείριση domain και φιλοξενία ιστοσελίδων.

defendersoft.cz

onlineweg.de

Ταξιδιωτική πύλη από τη Γερμανία – οργανωμένα ταξίδια, ξενοδοχεία και αεροπορικά εισιτήρια online, με προσωπική εξυπηρέτηση ταξιδιωτικού γραφείου.

onlineweg.de

Criadero

Δημιουργικό γραφείο από το Βρανδεμβούργο – σχεδιασμός ιστοσελίδων, έντυπα, φωτογραφία και πανοράματα 360°, όλα από έναν συνεργάτη.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

Πάροχος υπηρεσιών IT από το Wächtersbach – ιστοσελίδες Joomla, τεχνική υποστήριξη υπολογιστών, hardware και software.

jahnedv.de

IsariConsult

Συμβουλευτική για την ασφάλεια πληροφοριών από το Βερολίνο – αναλύσεις ασφαλείας, διαχείριση κινδύνων και ISO 27001 για μικρομεσαίες επιχειρήσεις.

isari-consult.de