- Son 7 gün
- CWE-89
CVE-2026-102788
Joomla Gridbox eklentisinde kimlik doğrulamasız SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Joomla
Yönetici özeti
Bu açık, web sitenizin veritabanına giriş yapmadan erişilmesine olanak tanıyabilir ve müşteri ya da sipariş verilerinin sızması veya değişmesi riskini doğurur. Etkilenen Joomla sitelerinde eklentinin hızla güncellenmesi önemlidir.
ÖzetTürkçe
Balbooa Gridbox, Joomla için geliştirilmiş bir eklentidir. Mağaza ürün listesi sayfalarında sıralama parametresi (sort-by) yeterli denetimden geçmeden ORDER BY ifadesine eklenmektedir. Bu nedenle 2.20.4.2 öncesi sürümler etkilenmektedir.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmadan gönderilen özel hazırlanmış bir istekle saldırgan veritabanı sorgularını değiştirebilir. Bu durum veritabanındaki verilerin okunmasına, değiştirilmesine veya silinmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Joomla Extension - balbooa.com - Unauthenticated SQL injection in Gridbox < 2.20.4.2 - On store product list pages, the value of the sort-by URL parameter is retrieved using a string filter and passed directly to GridboxHelper::getBlogPosts(). When the parameter does not match known sorting keys, it is prefixed with a table alias and inserted into the ORDER BY clause without checking against an allowlist
Ne yapmalı?
- Gridbox eklentisini 2.20.4.2 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Güncellemeden önce site ve veritabanının yedeğini alın. Genel öneri
- Güncelleme sonrasında mağaza ürün listesi sayfalarının normal çalıştığını kontrol edin. Genel öneri
Ek önlemler
- Veritabanı sorgu günlüklerinde sıra ifadelerinde beklenmeyen karakter veya SQL anahtar kelimeleri içeren istekleri izleyin. Genel öneri
- Veritabanı kullanıcısına yalnızca gerekli en düşük yetkileri verin. Genel öneri
- Güncelleme tamamlanana kadar web uygulama güvenlik duvarı (WAF) kurallarıyla sıralama parametresindeki şüpheli değerleri engellemeyi değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| balbooa.com Gridbox extension for Joomla | ≥ 1.0.0, ≤ 2.20.4.1 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.