Balbooa Gridbox: Unauthentifizierte SQL-Injection im Sortieren von Shop-Produktlisten
Zusammenfassung
Balbooa Gridbox, eine Website-Builder-Erweiterung für Joomla, ist von einer unauthentifizierten SQL-Injection betroffen. Der Parameter sort-by auf Shop-Produktlistenseiten wird ohne Allowlist-Prüfung in eine ORDER-BY-Klausel eingefügt. Ein entfernter Angreifer ohne Anmeldung kann Datenbankabfragen manipulieren, wodurch Website-Daten offengelegt oder verändert werden können.
Betroffen
- Gridbox für Joomla 1.0.0 bis 2.20.4.1 (gemäss Strix und CVE-Beschreibung)
- Versionen vor 1.0.0 sind in den Quellen nicht angegeben.
Behoben in
- Gridbox 2.20.4.2
- Das Balbooa-Changelog zu dieser CVE wurde nicht gefunden; die behobene Version vor dem Rollout prüfen.
Umgehung
- In den Quellen ist kein Workaround dokumentiert.
- Falls ein Update nicht sofort möglich ist, den Zugriff auf betroffene Shop-Seiten nach Möglichkeit einschränken.
Ausnutzung
- Laut VulDB ist kein öffentlicher Exploit bekannt.
- OffSeq meldet keine bekannte Ausnutzung in freier Wildbahn; nicht durch CISA oder den Hersteller bestätigt.
Unsere Empfehlung
- Gridbox umgehend auf 2.20.4.2 oder höher aktualisieren.
- Prüfen, ob auf Joomla-Websites ältere Gridbox-Versionen vorhanden sind, und diese ebenfalls aktualisieren, da weitere unauthentifizierte Gridbox-CVEs Versionen vor 2.20.2 betreffen.
- Webserver-Logs auf ungewöhnliche sort-by-Parameterwerte prüfen sowie Shop- und Blog-Seiten auf Anzeichen von Missbrauch kontrollieren.
- Aus dem Internet erreichbare Websites priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Strix CVE record CVE-2026-102788 www.strix.ai
- VulDB entry 427088 vuldb.com
- OffSeq threat radar entry radar.offseq.com
- Balbooa Gridbox product page www.balbooa.com
- Balbooa Gridbox 2.20.2 security release www.balbooa.com
- mySites.guru vulnerabilities overview mysites.guru
- CVE record mirror (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.