CVE-2026-102788: Joomla Extension - balbooa.com - Unauthenticated SQL injection in Gridbox < 2.20.4.2

Severity: critical (CVSS 9.3 v4.0)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.4% probability of exploitation in the next 30 days
Public exploit or detection template: none known
Published: 2026-10-27 · updated 2026-10-27
Weakness: CWE-89

Description

Joomla Extension - balbooa.com - Unauthenticated SQL injection in Gridbox < 2.20.4.2 - On store product list pages, the value of the sort-by URL parameter is retrieved using a string filter and passed directly to GridboxHelper::getBlogPosts(). When the parameter does not match known sorting keys, it is prefixed with a table alias and inserted into the ORDER BY clause without checking against an allowlist

Summary

An unauthenticated SQL injection exists in the balbooa.com Gridbox extension for Joomla before version 2.20.4.2. On store product list pages, the sort-by URL parameter is passed unsanitized into the ORDER BY clause, allowing an unauthenticated attacker to inject SQL and potentially read or alter database contents. The flaw is rated CVSS 9.3 (critical); it is not listed in CISA KEV, and no active exploitation is reported. Update Gridbox to 2.20.4.2 or later, and restrict or monitor access to store product list pages until patched.

توجد ثغرة حقن SQL غير مصادَق عليها في إضافة Gridbox من balbooa.com لـ Joomla قبل الإصدار 2.20.4.2. في صفحات قائمة منتجات المتجر، تُمرَّر قيمة المعامل sort-by في URL دون تنقية إلى جملة ORDER BY، ما يتيح لمهاجم غير مصادَق عليه حقن أوامر SQL وربما قراءة محتويات قاعدة البيانات أو تعديلها. صُنِّفت الثغرة بدرجة 9.3 (حرجة) على مقياس CVSS، وهي غير مدرجة في CISA KEV، ولا ترد تقارير عن استغلال نشط لها. يُنصح بالترقية إلى Gridbox 2.20.4.2 أو أحدث، وتقييد الوصول إلى صفحات قائمة منتجات المتجر أو مراقبتها إلى حين تطبيق التحديث.

Affected products

balbooa.com Gridbox extension for Joomla: 1.0.0-2.20.4.1

References

https://www.balbooa.com/gridbox

Get alerted when CVE-2026-102788 or the next vulnerability affects your stack