Balbooa Gridbox: 7 beveiligingslekken, updaten is te weinig
Veilige versie: Balbooa Gridbox 2.20.2 of nieuwer · via Balbooa (account required)
In het kort
com_gridbox)Waar gaat het om?
Balbooa Gridbox is een pagebuilder voor Joomla, van dezelfde ontwikkelaar als Balbooa Forms. In de versies tot en met 2.20.1 kwamen meerdere ernstige beveiligingslekken aan het licht – zeven daarvan hebben een eigen CVE-nummer.
Drie halen de hoogste score, 10 van de 10: een rechtenescalatie waarmee zonder in te loggen een beheerdersaccount kon worden aangemaakt (CVE-2026-65884), het resetten van het wachtwoord van elke willekeurige gebruiker (CVE-2026-65887) en het overnemen van bestaande accounts (CVE-2026-65888). Daar komen nog bij: toegang tot bestanden zonder inloggen, een SQL-injectie en een rechtencontrole die te omzeilen is.
Dit is het beslissende punt: bij deze lekken is bijwerken niet per se genoeg. Draaide je website langere tijd op een versie tot en met 2.20.1, dan kan er al een vreemd beheerdersaccount op staan. De update sluit de ingang – een account dat er al is, blijft bestaan tot je het verwijdert.
Ben ik getroffen? – Zo controleer je het
- Open de backend
Log in op de Joomla-beheeromgeving.
- Controleer de versie
Open Extensies›Beheren›Beheren en filter op ‘Gridbox’. Is de versie 2.20.1 of lager, dan is de website kwetsbaar.
- Controleer de gebruikerslijst
Open Gebruikers›Beheren en zoek naar accounts die je niet zelf hebt aangemaakt – vooral naar accounts met een vreemde gebruikersnaam en een wegwerpadres. Verwijder niets blindelings, maar controleer eerst.
- Loop de extensies na
Bekijk onder Extensies›Beheren ook de lijst met plug-ins op vermeldingen die je nooit hebt geïnstalleerd.
Zo dicht je het lek
- Vóór het bijwerken: back-up
Maak een back-up van bestanden en database voordat je de update start.
- Open het updatecentrum
Ga naar Systeem›Bijwerken›Extensies en klik op Controleer op updates.
- Gridbox bijwerken
Selecteer de vermelding en werk bij naar 2.20.2 of nieuwer. 2.20.1 volstaat niet.
- Daarna: controleer de accounts
Loop de gebruikerslijst pas ná het bijwerken door – een account dat eerder is aangemaakt, verdwijnt niet vanzelf.
Officiële bron: via Balbooa (account required). Zorg voor minimaal Balbooa Gridbox 2.20.2 of nieuwer.
Is de site al aangevallen?
Hulp nodig bij het opschonen? Geschikte specialisten vind je in de Joomla Service Providers Directory.
Bronnen & meer informatie
- CVE-2026-65884 – rechtenescalatieErnst 10 van de 10
- CVE-2026-65887 – wachtwoordreset van andere accountsErnst 10 van de 10
- CVE-2026-65888 – accountovernameErnst 10 van de 10
- Balbooa (ontwikkelaar)Hier haal je de veilige versie 2.20.2
De officiële informatie van de betreffende ontwikkelaar is altijd leidend. Deze pagina vat openbaar beschikbare informatie neutraal samen.
Vergelijkbare beveiligingslekken
Andere extensies met vergelijkbare kwetsbaarheden. Controleer of een daarvan op je website is geïnstalleerd.
Ondersteuners van deze site
htprotect.org is een gratis informatiesite die onafhankelijk is van ontwikkelaars. De site wordt ondersteund door:
Joomla-hostingprovider uit Duitsland met actieve community-ondersteuning – ontdekte de eerste aanval op het JCE-beveiligingslek.
fc-hosting.de
Gespecialiseerd in het opschonen, onderhouden en beveiligen van Joomla- en WordPress-websites.
website-bereinigung.deDit project ondersteunen
Bied je hosting- of Joomla-diensten aan en wil je htprotect.org steunen – en hier als ondersteuner zichtbaar zijn? Elke bijdrage helpt om getroffenen sneller te waarschuwen en sneller te beschermen.
Liever privé en zonder vermelding? Een kleine bijdrage in de fooienpot is net zo welkom.
Fabricage en montage van bouwborden, bouwhekken en geveloplossingen – inclusief ontwerp en 3D-visualisatie.
bauschildundservice.deProfessionele IT-ondersteuning uit Tsjechië – Windows-beheer, domeinbeheer en webhosting.
defendersoft.cz
Reisportaal uit Duitsland – pakketreizen, hotels en vluchten online, met persoonlijk advies van een reisbureau.
onlineweg.de
Creatief bureau uit Brandenburg – webdesign, drukwerk, fotografie en 360°-panorama's, alles uit één hand.
criadero.deIT-dienstverlener uit Wächtersbach – Joomla-websites, pc-service, hard- en software.
jahnedv.de
Advies over informatiebeveiliging uit Berlijn – beveiligingsanalyses, risicomanagement en ISO 27001 voor het mkb.
isari-consult.de