--- title: "Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0 - Joomla Guru" description: "Gridbox 2.20.4.2 zamyka dwie publiczne ścieżki ataku. CVE-2026-102788 i CVE-2026-102789 mają po 9,3. Wersja 2.20.4.1 też wymaga aktualizacji." url: "https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection" date: "2026-10-28T09:08:57+00:00" language: "pl-PL" --- ![Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) # Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0 [Autor: Marcin Równicki](https://joomlaguru.pl/marcin-rownicki) Publikacja: 28.10.2026 | 7:00 [Kategoria: Joomla](https://joomlaguru.pl/joomla) [FAQ](#faq) --- **Gridbox 2.20.4.2 usuwa SQL injection w sortowaniu listy produktów oraz brak kontroli uprawnień w zadaniu edytora.** Obie ścieżki były dostępne bez logowania. [CVE-2026-102788](https://www.cve.org/CVERecord?id=CVE-2026-102788) i [CVE-2026-102789](https://www.cve.org/CVERecord?id=CVE-2026-102789) mają po **CVSS 4.0: 9,3 (krytyczna)**. Rekordy obejmują wydania od 1.0.0 do 2.20.4.1. Poprawkę opublikowano 27 października 2026 r. Jeżeli zainstalowałeś niedawno 2.20.4.0 lub 2.20.4.1, zaktualizuj ponownie. To odrębne błędy od opisanych przez nas [poprawek CSRF i podglądu obrazów w 2.20.4.0](https://joomlaguru.pl/joomla/gridbox-2-20-4-0-kolejna-poprawka-bezpieczenstwa). Joomla Guru może wykonać [kopię, aktualizację Gridbox i test sklepu](https://joomlaguru.pl/uslugi/opieka-serwisowa-joomla). Jeśli podejrzewasz wcześniejsze wykorzystanie luk, pomagamy w [analizie incydentu i usuwaniu skutków włamania](https://joomlaguru.pl/uslugi/usuwanie-wirusow). ## Spis treści 1. [Dwie drogi do niebezpiecznego zapytania](https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection#dwie-drogi-do-niebezpiecznego-zapytania) 2. [Co zmienia producent?](https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection#co-zmienia-producent) 3. [Jak zaktualizować i co sprawdzić?](https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection#jak-zaktualizowac-i-co-sprawdzic) 4. [Źródła](https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection#zrodla) ## Dwie drogi do niebezpiecznego zapytania | CVE | Miejsce | Problem | |---|---|---| | 102788 | Lista produktów sklepu | Parametr sort-by trafiał do ORDER BY bez zamkniętej listy dopuszczonych wartości. | | 102789 | EditorController::getBlogPosts() | Brakowało kontroli poziomu uprawnień edytora przed wykonaniem zadania. | W pierwszym przypadku filtr tekstowy nie wystarczał do zabezpieczenia części zapytania SQL sterującej sortowaniem. W drugim zadanie nie wywoływało kontroli `checkUserEditLevel()`, obecnej w innych operacjach kontrolera. Dzięki temu istniała kolejna publiczna droga do funkcji pobierającej wpisy. **Praktyczne ryzyko dotyczy nieuprawnionego dostępu do danych przez zapytanie bazy.** Nie wywodzimy z samego wyniku CVSS, że w tej konkretnej luce potwierdzono zapis dowolnych plików albo wykonanie PHP. Brak potrzeby logowania wystarcza jednak, aby potraktować wdrożenie jako pilne. ## Co zmienia producent? [Balbooa potwierdza listę dopuszczonych sposobów sortowania i brakującą kontrolę uprawnień](https://www.balbooa.com/blog/gridbox/gridbox-2-20-4-2-security-hardening-update). Producent przypisuje zgłoszenie Arturowi Błażewiczowi, a koordynację ujawnienia Davidowi Jardinowi z Joomla Security Strike Team. To następny etap aktualizacji, a nie powód do pozostania na poprzednim wydaniu naprawczym. Wcześniej opisywaliśmy też [SQL injection w filtrze autora](https://joomlaguru.pl/joomla/gridbox-sql-injection-author-aktualizacja-2-20-3-1). Każdy z tych problemów wymaga swojej poprawki; obecnym wskazanym wydaniem jest 2.20.4.2. ## Jak zaktualizować i co sprawdzić? [**Gridbox: konto, licencja i pobieranie producenta →**](https://www.balbooa.com/gridbox/pricing) Użyj aktualizatora Gridbox lub pakietu z uprawnionego konta Balbooa. Nie ma potwierdzonego publicznego adresu ZIP do umieszczenia w artykule. Jeśli monit jeszcze się nie pojawił, sprawdź dostępność ręcznie. 1. Wykonaj pełną kopię i zanotuj numer Gridbox. 2. Zainstaluj 2.20.4.2 i potwierdź numer komponentu po operacji. 3. Przetestuj listę produktów, wszystkie dostępne sposoby sortowania, paginację oraz listy wpisów w edytorze. 4. Przy podejrzeniu ataku sprawdź logi żądań i zdarzenia w bazie. Nie ograniczaj kontroli do szukania nowych plików na serwerze, bo SQL injection dotyczy również danych. ## Źródła - [Balbooa: poprawki 2.20.4.2](https://www.balbooa.com/blog/gridbox/gridbox-2-20-4-2-security-hardening-update) - [CVE-2026-102788](https://www.cve.org/CVERecord?id=CVE-2026-102788) - [CVE-2026-102789](https://www.cve.org/CVERecord?id=CVE-2026-102789) Aktualizacja: 28.10.2026 | 0:32 [ Zostaw opinie ](https://g.page/r/Cfa6o9akPR8PEBE/review) [ Preferuj to źródło w Google ](https://www.google.com/preferences/source?q=joomlaguru.pl) **Zostaw Opinie:** Jeśli uzałeś/aś że znalezione materiały na stronię są wartościowe lub miałeś styczność z naszymi usługami. To zachęcamy do pozostawienia opini o Joomla Guru. To nic nie kosztuje, a nam pomaga w rozwoju. **Preferuj źródło** w Google dzięki temu możesz wskazać iż joomlaguru.pl jest wartościowym źródłem wiedzy dla Ciebie. ### FAQ --- ### Czy 2.20.4.0 też wymaga aktualizacji? Tak. Rekordy obejmują wersje do 2.20.4.1 włącznie, a poprawki są w 2.20.4.2. ### Jakie są oceny luk? Oba rekordy Joomla CNA mają CVSS 4.0 równy 9,3, czyli poziom krytyczny. ### Czy potwierdzono wykonanie PHP? Opisane ustalenia dotyczą SQL injection i brakującej autoryzacji. Nie przypisujemy im potwierdzonego wykonania PHP na podstawie samej punktacji. ### Czy potrzebne jest konto Joomla? Nie. Obie opisane ścieżki były publicznie dostępne. ### Co przetestować po aktualizacji? Sortowanie i paginację produktów, listy wpisów oraz pracę edytora. Potwierdź numer 2.20.4.2 po instalacji. --- [![Marcin Równicki Najlepszy ekspert od Joomla i Yootheme PRO w Polsce! Właściciel Joomlaguru.pl](https://joomlaguru.pl/images/Marcin-Rownicki-PM-2025.webp)](https://joomlaguru.pl/marcin-rownicki) #### [ O Marcin Równicki ](https://joomlaguru.pl/marcin-rownicki) Z Joomla pracuję od czasów Mambo (2008), dzięki czemu znam ten system od jego początków aż po najnowsze wydania. Specjalizuję się w budowie i modernizacji stron, migracjach, bezpieczeństwie, usuwaniu skutków włamań oraz stałej opiece technicznej. Tworzę rozwiązania możliwie blisko core Joomla i pracuję z YOOtheme Pro, dbając o wygodne zarządzanie stroną, jej wydajność oraz bezpieczne aktualizacje. Joomla Guru wyrosło z wieloletniego bloga, którego celem było praktyczne wspieranie użytkowników i administratorów Joomla. [ Więcej o autorze ](https://joomlaguru.pl/marcin-rownicki "Więcej o autorze Marcin Równicki ekspert od Joomla i YooTheme PRO") ## Powiązane [ ![iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### iCagenda 4.0.17 usuwa XSS i niebezpieczne formuły CSV. Joomla 3 wymaga PRO Więcej ](https://joomlaguru.pl/joomla/icagenda-4-0-17-xss-formuly-csv-aktualizacja) [ ![Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### Quix 6.4.0 zamyka dostęp do artykułów przeznaczonych dla zalogowanych Więcej ](https://joomlaguru.pl/joomla/quix-6-4-0-ochrona-dostepu-do-artykulow) [ ![DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3](https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp) ### DJ-HelpfulArticles: głos pod artykułem może zaatakować administratora. Zainstaluj 1.3 Więcej ](https://joomlaguru.pl/joomla/dj-helpfularticles-1-3-zapisany-xss-panel-administratora) ## Schema ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Start", "item": "https://joomlaguru.pl" }, { "@type": "ListItem", "position": 2, "name": "Joomla", "item": "https://joomlaguru.pl/joomla" }, { "@type": "ListItem", "position": 3, "name": "Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0", "item": "https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection" } ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "mainEntityOfPage": { "@type": "WebPage", "@id": "https://joomlaguru.pl/joomla/gridbox-2-20-4-2-krytyczne-luki-sql-injection" }, "headline": "Gridbox 2.20.4.2 usuwa kolejne krytyczne luki. Aktualizuj także 2.20.4.0", "description": "Gridbox 2.20.4.2 usuwa SQL injection w sortowaniu listy produktów oraz brak kontroli uprawnień w zadaniu edytora. Obie ścieżki były dostępne bez logowania. CVE-2026-102788 i CVE-2026-102789 mają po CVSS 4.0: 9,3 (krytyczna). Rekordy obejmują wydania od 1.0.0 do 2.20.4.1. Poprawkę opublikowano 27 października 2026 r. Jeżeli zainstalowałeś niedawno 2.20.4.0 lub 2.20.4.1, zaktualizuj ponownie. To odrębne błędy od opisanych przez nas poprawek CSRF i podglądu obrazów w 2.20.4.0. Joomla Guru może wykonać kopię, aktualizację Gridbox i test sklepu. Jeśli podejrzewasz wcześniejsze wykorzystanie luk, pomagamy w analizie incydentu i usuwaniu skutków włamania.", "image": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/joomla_6/joomla-security-extension-vulnerabilities-og-1200x630-branded.webp" }, "publisher": { "@type": "Organization", "name": "Joomla Guru", "logo": { "@type": "ImageObject", "url": "https://joomlaguru.pl/images/logo-joomla-guru.svg" } }, "author": { "@type": "Person", "name": "Marcin Równicki", "url": "https://joomlaguru.pl/marcin-rownicki" }, "datePublished": "2026-10-28T07:00:01+01:00", "dateCreated": "2026-10-28T07:00:01+01:00", "dateModified": "2026-10-28T00:32:49+01:00" } ```