Николай Еремян

01 ноября 2026

13 октября 2026

Gridbox 2.20.4.0: устранены две уязвимости безопасности

Содержание

8 октября 2026 года разработчики Balbooa выпустили обновление Gridbox 2.20.4.0. Новая версия закрывает две уязвимости безопасности: подделку межсайтовых запросов при установке языковых пакетов и недостаточную проверку пути при предварительном просмотре изображений.

Уязвимостям присвоены идентификаторы CVE-2026-102784 и CVE-2026-102783. Наиболее опасная из них получила оценку 8.7 балла по шкале CVSS 4.0, что соответствует высокому уровню угрозы.

Разработчики рекомендуют всем пользователям Gridbox установить версию 2.20.4.0. Обновление особенно важно, поскольку оно продолжает серию исправлений безопасности, выпускавшихся для компонента с июля 2026 года.

Важно!

В зоне риска находятся сайты на всех версиях Gridbox ниже 2.20.4.0. Даже если вы недавно обновились до версии 2.20.3.1, необходимо установить новое обновление.

Суть угрозы: что именно было исправлено?

В Gridbox 2.20.4.0 устранены две разные проблемы безопасности. Первая могла привести к установке выбранного злоумышленником программного пакета, если авторизованный суперадминистратор открыл специально подготовленную ссылку. Вторая позволяла неавторизованному посетителю получить доступ к некоторым изображениям за пределами настроенной медиапапки.

CSRF при установке языкового пакета — CVE-2026-102784

Gridbox позволяет устанавливать дополнительные языки интерфейса непосредственно из компонента. Такая операция фактически использует механизм установки пакетов Joomla и поэтому должна быть защищена проверкой прав пользователя и токеном текущей сессии.

В уязвимых версиях действие установки языка могло быть вызвано с помощью GET-запроса без корректной проверки CSRF-токена. Злоумышленнику не требовалась собственная учетная запись администратора: ему было достаточно убедить уже авторизованного суперадминистратора открыть специально созданную ссылку или посетить вредоносную страницу.

При успешной атаке Gridbox мог установить пакет, выбранный злоумышленником. Поскольку устанавливаемое расширение содержит исполняемый PHP-код, последствия могли включать:

выполнение вредоносного кода на сервере;
чтение и изменение данных сайта;
создание скрытых административных учетных записей;
установку бэкдоров и других вредоносных файлов;
полную потерю контроля над сайтом.

Уязвимость получила оценку 8.7 балла по CVSS 4.0 — высокий уровень опасности. Она не является полностью неавторизованной атакой в обычном понимании: для эксплуатации необходимо действие суперадминистратора с активной сессией. Однако самому злоумышленнику входить в административную панель не требуется.

В версии 2.20.4.0 разработчики усилили проверку запросов, чтобы операция установки языка не могла выполняться без действительного защитного токена.

Обход ограничения пути при просмотре изображений — CVE-2026-102783

Вторая уязвимость затрагивает функцию предварительного просмотра изображений. Gridbox должен получать файлы только из медиапапки, указанной в настройках компонента, однако прежняя проверка пути была недостаточно строгой.

В определенной конфигурации каталогов злоумышленник мог запросить изображение из соседней папки, имя которой начиналось так же, как имя разрешенного каталога. Например, при разрешенной папке /images проверка могла ошибочно принять путь к каталогу вида /images-backup.

Для эксплуатации не требовались авторизация и действия администратора. При этом возможности уязвимости были ограничены:

атакующий мог только прочитать поддерживаемые Gridbox файлы изображений;
изменение или удаление файлов через эту уязвимость не предусматривалось;
атака была возможна только при подходящей структуре и названиях папок на сервере.

Уязвимость получила оценку 6.3 балла по CVSS 4.0 — средний уровень опасности. В Gridbox 2.20.4.0 проверка была изменена так, чтобы предварительный просмотр обслуживал изображения только из точно разрешенного медиакаталога.

Кто находится в зоне риска?

Уязвимы все сайты с Gridbox версии 2.20.3.1 и ниже. Обе записи CVE указывают, что исправление присутствует только в версии 2.20.4.0.

Риск особенно высок, если:

администраторы сайта открывают ссылки из писем, обращений пользователей или заявок, не выходя из административной панели Joomla;
на сервере существуют резервные или служебные папки с изображениями, названия которых начинаются так же, как имя основной медиапапки;
Gridbox давно не обновлялся и установлена версия ниже 2.20.3.1;
на сайте разрешена работа нескольким пользователям с правами суперадминистратора.

Обратите внимание

На момент публикации нет подтверждений массовой эксплуатации именно CVE-2026-102784 и CVE-2026-102783. Однако отсутствие известных атак не делает уязвимые версии безопасными: после публикации подробностей риск эксплуатации обычно возрастает.

Почему нельзя останавливаться на предыдущих обновлениях?

В 2026 году для Gridbox было выпущено несколько важных обновлений безопасности:

2.20.1 закрыла критический обход аутентификации, позволявший получить права суперадминистратора.
2.20.2 устранила большую группу уязвимостей, включая удаленное выполнение кода, SQL-инъекции, повышение привилегий и раскрытие файлов.
2.20.2.3 дополнительно усилила авторизацию, обработку запросов, проверку путей и восстановление паролей.
2.20.3.1 закрыла неавторизованную слепую SQL-инъекцию в параметре автора блога.
2.20.4.0 устранила CSRF при установке языка и недостаточную проверку пути к изображениям.

Поэтому установка одной из промежуточных версий недостаточна. Наиболее безопасный вариант — обновиться непосредственно до Gridbox 2.20.4.0 или более новой версии.

Критическое уточнение!

Если на сайте установлена версия Gridbox ниже 2.20.2, простого обновления недостаточно. Ряд более ранних критических уязвимостей использовался злоумышленниками в реальных атаках. Такой сайт необходимо считать потенциально скомпрометированным и обязательно проверить после обновления.

Решение проблемы: пошаговая инструкция

Для устранения уязвимостей выполните следующие действия.

Шаг 1: создайте резервную копию

Перед обновлением создайте полную резервную копию файлов и базы данных. Сохраните ее вне папок сайта и убедитесь, что архив можно восстановить.

Шаг 2: обновите Gridbox до версии 2.20.4.0

Перейдите в панели управления Joomla в раздел Система → Обновление → Расширения.
Нажмите кнопку «Проверить обновления».
Найдите в списке компонент Gridbox.
Установите версию 2.20.4.0 или выше.
После установки очистите кэш Joomla, Gridbox и серверные системы кэширования.
Проверьте номер установленной версии и работу основных страниц сайта.

Если обновление не отображается:

Проверьте действительность лицензии и ключа обновления. При необходимости скачайте актуальный установочный пакет из личного кабинета на официальном сайте Balbooa и установите его через раздел Система → Установка → Расширения.

Шаг 3: проверьте сайт на признаки взлома

Установка обновления закрывает уязвимости, но не удаляет изменения, которые могли быть внесены ранее. Особенно тщательно следует проверять сайты, работавшие на Gridbox ниже версии 2.20.3.1.

Проверьте учетные записи: найдите неизвестных пользователей с правами администратора или суперадминистратора, обращая внимание на недавно созданные учетные записи.
Проверьте установленные расширения: убедитесь, что в Joomla не появились неизвестные компоненты, модули, плагины, шаблоны или языковые пакеты.
Проверьте файлы сайта: найдите недавно созданные или измененные PHP-файлы, особенно в каталогах /images, /media, /tmp, /cache и папках Gridbox.
Проверьте задания и настройки: убедитесь, что не были изменены параметры электронной почты, перенаправления, пользовательский JavaScript, PHP-код и настройки шаблонов.
Изучите журналы сервера: проверьте подозрительные запросы к com_gridbox, необычные установки пакетов, обращения к изображениям вне медиапапки и входы в административную панель.
Проверьте резервные папки: не храните конфиденциальные изображения в каталогах вроде /images-backup или других публично доступных папках внутри корня сайта.

Шаг 4: примите дополнительные меры защиты

Обновите Joomla и все установленные расширения до актуальных версий.
Включите многофакторную аутентификацию для всех учетных записей с административными правами.
Не открывайте подозрительные ссылки при активной сессии в панели управления Joomla.
Ограничьте количество суперадминистраторов и выдавайте пользователям только необходимые разрешения.
Защитите административную панель дополнительным паролем, ограничением по IP-адресам или средствами веб-фаервола.
Храните резервные копии вне корня сайта, чтобы их нельзя было получить прямым запросом из интернета.
Регулярно создавайте резервные копии и периодически проверяйте возможность их восстановления.

Что еще изменилось в Gridbox 2.20.4.0?

Помимо исправлений безопасности, версия 2.20.4.0 содержит несколько функциональных изменений:

настройка сжатия изображений перенесена в раздел Performance Tools → Images и теперь применяется к изображениям, загружаемым через разные области Gridbox;
возвращена авторизация через Google и Facebook;
исправлены проблемы совместимости с JCE 3.0;
исправлено сохранение адаптивных CSS-настроек;
исправлено отображение миниатюр в виджете медиаменеджера;
улучшено применение требований к паролям при регистрации;
устранена ошибка 500 при оформлении заказа после новой установки Gridbox;
исправлена обработка серверных токенов, содержащих перевод строки.

Для пользователей Facebook Login

Из-за изменений API Facebook после обновления может потребоваться создать новые App ID и App Secret, а затем заново указать их в настройках интеграции Gridbox.

Можем сделать всё за вас

Если вы не уверены в безопасности сайта, мы можем обновить Gridbox и Joomla, проверить учетные записи, установленные расширения и файлы, проанализировать журналы сервера и удалить обнаруженный вредоносный код.

Оставить заявку Список услуг

Post Scriptum

Предупрежден — значит вооружен! Не откладывайте установку Gridbox 2.20.4.0: своевременное обновление значительно проще и дешевле восстановления уже взломанного сайта.