What’s Vulnerable › Vulnerabilities
CVE-2026-102789: Joomla Extension - balbooa.com - Missing Authorization Check on Editor Controller Task in Gridbox < 2.20.4.2
- Severity: critical (CVSS 9.3 v4.0)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.3% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-27 · updated 2026-10-27
- Weakness: CWE-284
Description
Joomla Extension - balbooa.com - Missing Authorization Check on Editor Controller Task in Gridbox < 2.20.4.2 - EditorController::getBlogPosts() reads the order parameter and invokes getBlogPosts() . Unlike other tasks in this controller, it omits the GridboxHelper::checkUserEditLevel() check.
Summary
Gridbox, a Joomla extension from balbooa.com, has a missing authorization check in the EditorController::getBlogPosts() task, which reads the order parameter and calls getBlogPosts() without the GridboxHelper::checkUserEditLevel() check used by other tasks in the controller. This allows unauthorized access to editor functionality, rated CVSS 9.3 critical. All Gridbox versions below 2.20.4.2 are affected. The flaw is not listed in CISA KEV and no exploitation is reported. Update Gridbox to 2.20.4.2 or later.
توجد ثغرة في إضافة Gridbox الخاصة بـ Joomla من balbooa.com تتمثل في غياب التحقق من التصريح في مهمة EditorController::getBlogPosts()، إذ تقرأ المعامل order وتستدعي getBlogPosts() دون فحص GridboxHelper::checkUserEditLevel() المستخدم في مهام أخرى ضمن المتحكم. يتيح ذلك وصولاً غير مصرح به إلى وظائف المحرر، وقد صُنّفت بدرجة 9.3 حرجة. تتأثر جميع إصدارات Gridbox الأقدم من 2.20.4.2. الثغرة غير مدرجة في CISA KEV ولم يُبلَّغ عن استغلالها. يُنصح بالترقية إلى Gridbox 2.20.4.2 أو أحدث.
Affected products
- balbooa.com Gridbox extension for Joomla: 1.0.0-2.20.4.1
References
Get alerted when CVE-2026-102789 or the next vulnerability affects your stack