CVE-2026-102783 in Gridbox Extension
Résumé
par VulDB • 08/10/2026
Joomla Extension - balbooa.com - Path Traversal dans la prévisualisation d'images de Gridbox < 2.20.4.0 - Gridbox contient une logique de confinement basée uniquement sur le préfixe au sein de son UploaderHelper côté site. L'action showImage résout un chemin contrôlé par la requête, appelle cet helper, puis renvoie l'image. Si le décodage d'image est indisponible ou échoue, l'action diffuse directement le fichier. Une image existante dans un répertoire frère tel que images-backup peut donc satisfaire le test de confinement actuel bien qu'elle se trouve en dehors du racine des images configurée. La route restreint l'extension de fichier aux types d'images Gridbox, ce qui limite considérablement la primitive de lecture. Le media root par défaut est images ; le paramètre site effectif n'a pas été vérifié indépendamment. Aucun répertoire frère correspondant à un préfixe n'a été trouvé à côté du répertoire images du site. La vulnérabilité est classée comme Low plutôt que présentée comme une divulgation arbitraire de fichiers.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.