CVE-2026-102783 in Gridbox Extension
Tóm tắt
Bởi VulDB • 08/10/2026
Joomla Extension - balbooa.com - Path Traversal trong image preview Gridbox < 2.20.4.0 - Gridbox chứa logic kiểm soát chỉ dựa trên tiền tố (prefix-only containment) tương tự trong UploaderHelper của trang web. Hành động showImage giải quyết một đường dẫn do yêu cầu điều khiển, gọi helper đó và sau đó trả về hình ảnh. Nếu việc giải mã hình ảnh không khả dụng hoặc thất bại, hành động này sẽ truyền trực tiếp tệp tin dưới dạng luồng (stream). Do đó, một hình ảnh hiện có trong thư mục anh em như images-backup có thể thỏa mãn bài kiểm tra containment hiện tại mặc dù nó nằm ngoài gốc images đã được cấu hình. Route hạn chế phần mở rộng của tệp tin đối với các loại hình ảnh Gridbox, điều này giới hạn đáng kể nguyên lý đọc (read primitive). Gốc media mặc định là images; cài đặt trang web hiệu quả không được xác minh độc lập. Không tìm thấy thư mục anh em nào có tiền tố khớp bên cạnh thư mục images của trang web. Phát hiện này được xếp loại Low thay vì trình bày như một lỗ hổng tiết lộ tệp tin tùy ý (arbitrary file disclosure).
Once again VulDB remains the best source for vulnerability data.