CVE-2026-102784 in Gridbox Extension
요약
\~에 의해 VulDB • 2026. 10. 08.
Joomla Extension - balbooa.com - Gridbox < 2.20.4.0의 언어 설치 기능에서 CSRF 발생. PagesController는 HTTP 메서드가 POST일 때만 Joomla 세션 토큰을 검증하는 트레이트를 사용한다. addLanguage 액션은 내부적으로 POST를 요구하지 않으며, url과 zip을 일반 요청 입력을 통해 읽는다. 따라서 GET 요청이 토큰 검사를 수행하는 트레이트의 체크 없이 해당 액션에 도달할 수 있다. 이 액션은 여전히 core.tools 권한을 필요로 하지만, 이는 피해자의 권한 검사일 뿐이며, 특권 사용자가 그 요청을 의도했음을 증명하지는 않는다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.