Gridbox 2.20.4.2未満でCVE-2026-102788／102789（いずれもCVSS v4 9.3）。URLのソート指定と編集タスクの認可不足が問題。開発元は10月27日に2.20.4.2を公開。
30秒でわかる / THE SIGNAL
Gridbox 2.20.4.2未満でCVE-2026-102788／102789（いずれもCVSS v4 9.3）。URLのソート指定と編集タスクの認可不足が問題。開発元は10月27日に2.20.4.2を公開。
2件の重大な脆弱性
Joomla拡張Gridbox 2.20.4.2未満に、CVE-2026-102788（ストアの商品一覧のsort-by URLパラメータ経由のSQLインジェクション）とCVE-2026-102789（EditorController::getBlogPosts()の権限チェック欠落）がある。GitHub Advisory DatabaseではともにCVSS v4 9.3（CRITICAL）。認証不要で悪用される可能性がある。
10月27日付の修正版
開発元Balbooaは2026年10月27日、Gridbox 2.20.4.2を公開し、ソート指定パラメータのSQLインジェクションと編集タスクへの不正アクセスを修正した。管理者は更新後に不審なリクエストとデータベース操作を点検したい。実際の悪用は未確認。公式：https://www.balbooa.com/docs/gridbox/overview/changelog/2-x
個別の脆弱性情報
CVE-2026-102788：https://github.com/advisories/GHSA-hqjq-crc6-5fp3 CVE-2026-102789：https://github.com/advisories/GHSA-rhxp-7mw6-3gpp
WORK SIGNALの視点
CMS拡張機能の入力値検証と権限チェックの両方が欠けると、認証前のアクセスがデータベースに波及する。Joomla運用者は拡張機能まで更新対象に含めたい。