CVE-2026-102783 in Gridbox Extension
Zusammenfassung
von VulDB • 08.10.2026
Joomla-Erweiterung - balbooa.com - Path Traversal in der Bildvorschau von Gridbox < 2.20.4.0: Gridbox enthält dieselbe nur auf das Präfix beschränkte Containment-Logik in seinem site UploaderHelper. Die Aktion showImage löst einen anfragekontrollierten Pfad auf, ruft diesen Helper auf und gibt anschließend das Bild zurück. Wenn die Decodierung von Bildern nicht verfügbar ist oder fehlschlägt, streamt die Aktion die Datei direkt. Ein vorhandenes Bild in einem Geschwisterverzeichnis wie images-backup kann daher den aktuellen Containment-Test erfüllen, obwohl es sich außerhalb des konfigurierten Images-Stammverzeichnisses befindet. Der Route wird eingeschränkt, um die Dateierweiterung auf Gridbox-Bildtypen zu beschränken, was das Leseprimitiv erheblich einschränkt. Das Standard-Medienstammverzeichnis ist images; die effektive Site-Einstellung wurde nicht unabhängig überprüft. Es wurde kein geschwisterliches Verzeichnis mit Präfixübereinstimmung neben dem images-Verzeichnis der Site gefunden. Der Befund wird als Low eingestuft, anstatt ihn als beliebige Dateidisklosure darzustellen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.