Balbooa Gridbox: 7 вразливостей, самого оновлення замало
Безпечна версія: Balbooa Gridbox 2.20.2 або новіша версія · via Balbooa (account required)
Коротко про головне
com_gridbox)Про що йдеться?
Balbooa Gridbox — конструктор сторінок для Joomla від того самого розробника, що й Balbooa Forms. У версіях до 2.20.1 включно стало відомо про кілька серйозних вразливостей безпеки — сім із них мають власний ідентифікатор CVE.
Три сягають максимальної оцінки 10 з 10: підвищення привілеїв, яке дозволяло без входу в систему створити обліковий запис адміністратора (CVE-2026-65884), скидання пароля будь-якого іншого користувача (CVE-2026-65887) і захоплення наявних облікових записів (CVE-2026-65888). До цього додаються доступ до файлів без автентифікації, SQL-ін’єкція та перевірка прав, яку можна обійти.
А тепер найважливіше: у випадку цих вразливостей самого оновлення може бути замало. Якщо ваш сайт хоч якийсь час працював на версії до 2.20.1, на ньому вже може бути підкинутий обліковий запис адміністратора. Оновлення закриває шлях усередину — але обліковий запис, який зловмисник устиг створити, залишиться на сайті, доки ви його не видалите.
Чи стосується це мого сайту? – Як перевірити
- Відкрийте панель адміністратора
Увійдіть до панелі адміністратора Joomla.
- Перевірте версію
Відкрийте Розширення›Керування›Керування і відфільтруйте список за назвою «Gridbox». Якщо версія 2.20.1 або старіша, сайт вразливий.
- Перегляньте список користувачів
Відкрийте Користувачі›Керування і пошукайте облікові записи, яких ви не створювали самі, — насамперед із підозрілим іменем користувача та одноразовою поштовою адресою. Нічого не видаляйте наосліп: спершу перевірте.
- Огляньте список розширень
У розділі Розширення›Керування перевірте також список плагінів на записи, яких ви ніколи не встановлювали.
Як усунути вразливість
- Перед оновленням: резервна копія
Перш ніж оновлювати, створіть резервну копію файлів і бази даних.
- Відкрийте центр оновлень
Перейдіть до Система›Оновлення›Розширення і натисніть Перевірити оновлення.
- Оновіть Gridbox
Виберіть відповідний запис і оновіть розширення до версії 2.20.2 або новішої. Версії 2.20.1 недостатньо.
- Після оновлення: перевірте облікові записи
Список користувачів перегляньте лише після оновлення — створений раніше обліковий запис сам собою не зникне.
Офіційне джерело: via Balbooa (account required). Переконайтеся, що встановлено щонайменше Balbooa Gridbox 2.20.2 або новіша версія.
Чи вже атакували ваш сайт?
Потрібна допомога з очищенням сайту? Кваліфікованих фахівців ви знайдете в каталозі постачальників послуг Joomla.
Джерела & додаткові матеріали
- CVE-2026-65884 — підвищення привілеївРівень небезпеки 10 з 10
- CVE-2026-65887 — скидання чужих паролівРівень небезпеки 10 з 10
- CVE-2026-65888 — захоплення облікового записуРівень небезпеки 10 з 10
- Balbooa (виробник)Отримання безпечної версії 2.20.2
Пріоритет завжди мають офіційні дані відповідного розробника. Ця сторінка нейтрально узагальнює загальнодоступну інформацію.
Схожі вразливості
Інші розширення з подібними вразливостями. Перевірте, чи встановлено якесь із них на вашому сайті.
Хто підтримує цей сайт
htprotect.org — це безкоштовний інформаційний ресурс, незалежний від розробників розширень. Його підтримують:
Хостинг-провайдер для Joomla з Німеччини з активною підтримкою спільноти – виявив першу атаку на вразливість у JCE.
fc-hosting.de
Спеціалізується на очищенні, обслуговуванні та захисті сайтів на Joomla і WordPress.
website-bereinigung.deПідтримайте цей проєкт
Ви надаєте послуги хостингу або обслуговування Joomla і хочете підтримати htprotect.org – та з’явитися тут серед тих, хто нас підтримує? Кожен внесок допомагає швидше попереджати й захищати тих, кого це стосується.
Бажаєте підтримати приватно, без згадки у списку? Невеликий внесок у скарбничку на каву потішить нас так само.
Виготовлення та монтаж будівельних щитів, огорож для будівельних майданчиків і фасадних рішень – разом із дизайном і 3D-візуалізацією.
bauschildundservice.deПрофесійна ІТ-підтримка з Чехії – керування Windows, адміністрування доменів і вебхостинг.
defendersoft.cz
Туристичний портал із Німеччини – пакетні тури, готелі та авіаквитки онлайн, із персональними консультаціями турагенції.
onlineweg.de
Креативна агенція з Бранденбургу – вебдизайн, друкована продукція, фотографія та панорами 360° від одного виконавця.
criadero.deПостачальник ІТ-послуг із Wächtersbach – сайти на Joomla, обслуговування комп’ютерів, апаратне та програмне забезпечення.
jahnedv.de
Консультації з інформаційної безпеки з Берліна – аналіз безпеки, управління ризиками та ISO 27001 для малого й середнього бізнесу.
isari-consult.de