Balbooa Gridbox: 7 vulnerabilidades – atualizar não basta
Versão segura: Balbooa Gridbox 2.20.2 ou superior · via Balbooa (account required)
Em resumo
com_gridbox)Do que se trata?
O Balbooa Gridbox é um construtor de páginas para Joomla, do mesmo fabricante do Balbooa Forms. Nas versões até a 2.20.1, inclusive, foram divulgadas várias vulnerabilidades graves – sete delas com identificador CVE próprio.
Três chegam à nota máxima, 10 de 10: um escalonamento de privilégios que permitia criar uma conta de administrador sem login (CVE-2026-65884), a redefinição da senha de qualquer outro usuário (CVE-2026-65887) e o sequestro de contas já existentes (CVE-2026-65888). Somam-se a isso um acesso a arquivos sem autenticação, uma injeção de SQL e uma verificação de permissões que podia ser contornada.
Este é o ponto decisivo: nesse caso, atualizar pode não ser suficiente. Se o seu site rodou por algum tempo em uma versão até a 2.20.1, é possível que já exista nele uma conta de administrador plantada. A atualização fecha a porta de entrada – mas uma conta já criada continua existindo até ser removida.
Meu site foi afetado? – Como verificar
- Abra o backend
Faça login no administrador do Joomla.
- Verifique a versão
Abra Extensões›Gerenciar›Gerenciar e filtre por “Gridbox”. Se a versão for 2.20.1 ou anterior, o site está vulnerável.
- Revise a lista de usuários
Abra Usuários›Gerenciar e procure contas que você mesmo não criou – principalmente as que têm nome de usuário estranho e endereço de e-mail descartável. Não apague nada às cegas: verifique antes.
- Confira as extensões
Em Extensões›Gerenciar, revise também a lista de plugins em busca de itens que você nunca instalou.
Como corrigir a vulnerabilidade
- Antes de atualizar: faça backup
Faça backup dos arquivos e do banco de dados antes de atualizar.
- Abra a central de atualizações
Vá em Sistema›Atualizar›Extensões e clique em Verificar Atualizações.
- Atualize o Gridbox
Selecione o item e atualize para a 2.20.2 ou superior. A 2.20.1 não basta.
- Depois: verifique as contas
Só depois da atualização, revise a lista de usuários – uma conta criada antes não desaparece sozinha.
Download oficial: via Balbooa (account required). Certifique-se de ter pelo menos Balbooa Gridbox 2.20.2 ou superior.
Seu site já foi atacado?
Precisa de ajuda com a limpeza? Você encontra profissionais qualificados no Diretório de Prestadores de Serviços do Joomla.
Fontes & mais informações
- CVE-2026-65884 – escalonamento de privilégiosGravidade 10 de 10
- CVE-2026-65887 – redefinição de senha de outros usuáriosGravidade 10 de 10
- CVE-2026-65888 – sequestro de contaGravidade 10 de 10
- Balbooa (fabricante)Onde obter a versão segura 2.20.2
As informações oficiais de cada desenvolvedor sempre prevalecem. Esta página reúne de forma neutra informações disponíveis publicamente.
Vulnerabilidades relacionadas
Outras extensões com vulnerabilidades semelhantes. Verifique se alguma delas está instalada no seu site.
Apoiadores deste site
O htprotect.org é um serviço de informação gratuito e independente de qualquer desenvolvedor. Ele conta com o apoio de:
Empresa de hospedagem Joomla da Alemanha, com suporte ativo da comunidade – detectou o primeiro ataque à vulnerabilidade do JCE.
fc-hosting.de
Especializada em limpeza, manutenção e proteção de sites Joomla e WordPress.
website-bereinigung.deApoie este projeto
Você tem um serviço de hospedagem ou trabalha com Joomla e quer apoiar o htprotect.org – e aparecer aqui como apoiador? Cada contribuição ajuda a avisar e a proteger mais rápido quem foi afetado.
Prefere contribuir de forma reservada, sem aparecer na lista? Uma ajuda para a caixinha do café é igualmente bem-vinda.
Fabricação e instalação de placas de obra, tapumes e soluções de fachada – incluindo design e visualização em 3D.
bauschildundservice.deSuporte de TI profissional da República Tcheca – gestão de Windows, administração de domínios e hospedagem de sites.
defendersoft.cz
Portal de viagens da Alemanha – pacotes de viagem, hotéis e passagens aéreas on-line, com atendimento personalizado de agência de viagens.
onlineweg.de
Agência de criação de Brandenburg – webdesign, materiais impressos, fotografia e panoramas em 360°, tudo em um só lugar.
criadero.dePrestadora de serviços de TI de Wächtersbach – sites em Joomla, assistência técnica de computadores, hardware e software.
jahnedv.de
Consultoria em segurança da informação de Berlin – análises de segurança, gestão de riscos e ISO 27001 para pequenas e médias empresas.
isari-consult.de