Balbooa Gridbox: 7 уязвимостей, обновления недостаточно
Безопасная версия: Balbooa Gridbox 2.20.2 или новее · via Balbooa (account required)
Коротко о главном
com_gridbox)В чём суть уязвимости?
Balbooa Gridbox — конструктор страниц для Joomla от того же разработчика, что и Balbooa Forms. В версиях до 2.20.1 включительно стало известно сразу о нескольких серьёзных уязвимостях — семь из них получили собственные идентификаторы CVE.
Три уязвимости имеют максимальную оценку 10 из 10: повышение привилегий, позволявшее без входа в систему создать учётную запись администратора (CVE-2026-65884), сброс пароля любого другого пользователя (CVE-2026-65887) и захват существующих учётных записей (CVE-2026-65888). К ним добавляются доступ к файлам без входа в систему, SQL-инъекция и проверка прав, которую можно было обойти.
И самое главное: при таких уязвимостях одного обновления может быть недостаточно. Если ваш сайт сколько-нибудь долго работал на версии до 2.20.1, на нём уже может быть подброшенная учётная запись администратора. Обновление закрывает путь внутрь — но однажды созданная учётная запись никуда не денется, пока вы её не удалите.
Мой сайт уязвим? – Как это проверить
- Откройте панель управления
Войдите в административный раздел Joomla.
- Проверьте версию
Откройте Расширения›Управление›Управление и отфильтруйте список по запросу «Gridbox». Если версия 2.20.1 или ниже, сайт уязвим.
- Проверьте список пользователей
Откройте Пользователи›Управление и поищите учётные записи, которые вы не создавали сами, — особенно с подозрительным именем пользователя и одноразовым адресом электронной почты. Ничего не удаляйте вслепую: сначала разберитесь.
- Просмотрите расширения
В разделе Расширения›Управление проверьте и список плагинов — нет ли в нём записей, которые вы никогда не устанавливали.
Как закрыть уязвимость
- Перед обновлением: резервная копия
Сделайте резервную копию файлов и базы данных, прежде чем обновляться.
- Откройте центр обновлений
Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.
- Обновите Gridbox
Выберите запись в списке и обновите её до версии 2.20.2 или новее. Версии 2.20.1 недостаточно.
- После обновления: проверьте учётные записи
Только после обновления просмотрите список пользователей — созданная ранее учётная запись сама собой не исчезнет.
Официальный источник: via Balbooa (account required). Убедитесь, что установлена версия не ниже Balbooa Gridbox 2.20.2 или новее.
Сайт уже взломали?
Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.
Источники & полезные ссылки
- CVE-2026-65884 — повышение привилегийУровень опасности 10 из 10
- CVE-2026-65887 — сброс чужих паролейУровень опасности 10 из 10
- CVE-2026-65888 — захват учётной записиУровень опасности 10 из 10
- Balbooa (разработчик)Где скачать безопасную версию 2.20.2
Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.
Похожие уязвимости
Другие расширения со схожими уязвимостями. Проверьте, не установлено ли какое-либо из них на вашем сайте.
Партнёры этого сайта
htprotect.org — бесплатный информационный проект, независимый от разработчиков. Нас поддерживают:
Joomla-хостинг из Германии с активной поддержкой сообщества – обнаружил первую атаку на уязвимость в JCE.
fc-hosting.de
Специализируется на очистке, обслуживании и защите сайтов на Joomla и WordPress.
website-bereinigung.deПоддержать этот проект
Вы предоставляете услуги хостинга или работаете с Joomla и хотите поддержать htprotect.org – и быть указанным здесь среди партнёров? Любая поддержка помогает быстрее предупреждать и защищать тех, кого это коснулось.
Предпочитаете поддержать частным образом, без упоминания? Небольшой взнос в копилку на кофе порадует нас не меньше.
Изготовление и монтаж строительных щитов, строительных ограждений и фасадных решений – включая дизайн и 3D-визуализацию.
bauschildundservice.deПрофессиональная ИТ-поддержка из Чехии – управление Windows, администрирование доменов и веб-хостинг.
defendersoft.cz
Туристический портал из Германии – пакетные туры, отели и авиабилеты онлайн, с личной консультацией турагентства.
onlineweg.de
Креативное агентство из Бранденбурга – веб-дизайн, полиграфия, фотосъёмка и панорамы 360°, всё от одного исполнителя.
criadero.deИТ-услуги из города Wächtersbach – сайты на Joomla, обслуживание ПК, аппаратное и программное обеспечение.
jahnedv.de
Консалтинг по информационной безопасности из Берлина – анализ защищённости, управление рисками и ISO 27001 для малого и среднего бизнеса.
isari-consult.de