Balbooa wydało 4 listopada 2026 r. Gridbox 2.20.5.0 z czterema poprawkami bezpieczeństwa. Dotyczą usuwania załączników oraz zapisanego XSS w komentarzach i recenzjach. Producent wskazuje wersję 2.20.4.2 i starsze jako podatne, a maksymalny poziom zagrożenia określa jako wysoki. Jeśli zaktualizowałeś Gridbox pod koniec października, potrzebna jest kolejna aktualizacja.
Spis treści
Co naprawiono?
| Obszar | Zmiana producenta |
|---|---|
| Usuwanie tymczasowych załączników komentarzy i recenzji | Kontrola ścieżki, własności pliku i tokenu CSRF. |
| Usuwanie plików przesłanych formularzem (IDOR) | Kontrola autoryzacji i CSRF, blokująca usuwanie plików bez uwierzytelnienia. |
| Widżety ostatnich komentarzy i recenzji | Oczyszczanie wiadomości przed wyświetleniem, chroniące przed zapisanym XSS. |
| Pojedyncze recenzje i odpowiedzi | Usuwanie znaczników HTML w ścieżce getReviewById. |
Błąd usuwania pliku może oznaczać utratę załącznika lub przerwę w działaniu strony, a nie tylko problem z wyglądem formularza. Zapisany XSS działa inaczej: niebezpieczna treść pozostaje w witrynie i może uruchomić skrypt w przeglądarce osoby, która ją wyświetli. Dlatego po aktualizacji należy przejrzeć także wcześniej zapisane komentarze i recenzje.
Cztery identyfikatory CVE, bez publicznych ocen
Balbooa wymienia CVE-2026-105607, CVE-2026-107129, CVE-2026-107130 i CVE-2026-107903. Podczas kontroli 4 listopada publiczne API CVE zwracało dla nich HTTP 404. Komunikat producenta nie przyporządkowuje każdego numeru do konkretnego problemu, więc nie robimy tego za niego i nie podajemy nieoficjalnych punktów jako ocen CNA.
Dodatkowe zabezpieczenia w tym samym wydaniu
Przegląd wewnętrzny Balbooa objął też uprawnienia do operacji zmieniających dane, obsługę plików, eksporty CSV oraz walidację zamówień sklepu i rezerwacji. Producent opisuje m.in. ochronę zapytań eksportu przed SQL injection i neutralizowanie niebezpiecznych formuł arkusza. Nie każda z tych zmian jest odrębną podatnością z własnym CVE.
Skąd pobrać i co sprawdzić?
Przejdź do Gridbox w Balbooa → i pobierz aktualizację przez swoje konto lub kanał aktualizacji Joomla. Wybierz pakiet dla posiadanej licencji. Jeśli powiadomienie jeszcze się nie pojawiło, sprawdź wersję u producenta i pobierz pakiet ręcznie; brak monitu nie potwierdza bezpieczeństwa.
- Wykonaj kopię plików i bazy, a na rozbudowanej stronie najpierw sprawdź pakiet na kopii testowej.
- Po instalacji potwierdź numer 2.20.5.0 lub późniejsze wydanie zawierające poprawki.
- Przetestuj komentarze, recenzje, załączniki formularzy i funkcje sklepu lub rezerwacji, których używasz.
- Przy niewyjaśnionych brakach plików, obcych komentarzach lub kontach administratorów zabezpiecz logi i zleć analizę incydentu.
To inne poprawki niż opisane przez nas w artykule o Gridbox 2.20.4.2 oraz wcześniejszym wydaniu 2.20.4.0. Tamte aktualizacje nie zastępują obecnej.
Joomla Guru oferuje opiekę serwisową Joomla: kopię, aktualizację i sprawdzenie działania strony. Przy podejrzeniu włamania pomagamy również w analizie i usuwaniu złośliwego kodu. Sama instalacja poprawki nie usuwa skutków wcześniejszego incydentu.
Źródła
Komunikat Balbooa: Gridbox 2.20.5.0 Security Deep Dive oraz identyfikatory CVE wskazane wyżej (status publicznych rekordów sprawdzony 4 listopada 2026 r.).
FAQ
