CVE-2026-102784 in Gridbox Extension
Zusammenfassung
von VulDB • 08.10.2026
Joomla-Erweiterung - balbooa.com - CSRF in der Gridbox-Funktion zur Sprachinstallation < 2.20.4.0: PagesController verwendet ein Trait, das das Joomla-Sitzungs-Token nur dann validiert, wenn die HTTP-Methode POST ist. addLanguage erfordert kein POST innerhalb der Aktion und liest url und zip über den generischen Eingabepuffer (request input). Eine GET-Anfrage kann daher die Aktion erreichen, ohne dass das Token durch das Trait überprüft wird. Die Aktion erfordert weiterhin core.tools, dies dient jedoch nur als Berechtigungsprüfung des Opfers; sie beweist nicht, dass der privilegierte Benutzer die Anfrage beabsichtigt hat.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.