Joomla拡張Gridboxに認証不要のSQLインジェクション、修正版あり
Summary
Joomla用の拡張機能Gridboxに、ログインなしでデータベースを不正に操作されるおそれのある脆弱性が見つかりました。Gridboxを入れたJoomlaサイト、とくにストア機能を公開している組織が対象です。版を確認し、2.20.4.2より前なら修正版へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Joomla用の拡張機能Gridboxに、ログインなしでデータベースを不正に操作されるおそれのある脆弱性が見つかりました。Gridboxを入れたJoomlaサイト、とくにストア機能を公開している組織が対象です。版を確認し、2.20.4.2より前なら修正版へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| balbooa.com | Gridbox extension for Joomla | — | — |
Original description The description as published by the source.
Joomla Extension - balbooa.com - Unauthenticated SQL injection in Gridbox < 2.20.4.2 - On store product list pages, the value of the sort-by URL parameter is retrieved using a string filter and passed directly to GridboxHelper::getBlogPosts(). When the parameter does not match known sorting keys, it is prefixed with a table alias and inserted into the ORDER BY clause without checking against an allowlist
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web security@joomla.org
- web nvd.nist.gov
- web github.com