Joomla 上常用的可视化建站组件 Gridbox 在 10 月 27 日发了 2.20.4.2，补掉排序参数注入与编辑任务越权两个问题，官方给出的最高等级是严重；用的是 2.20.4.1 及更早版本，就必须升级。
Joomla 上常用的可视化建站组件 Gridbox 在 10 月 27 日发了 2.20.4.2，补掉排序参数注入与编辑任务越权两个问题，官方给出的最高等级是严重；用的是 2.20.4.1 及更早版本，就必须升级。
Joomla 上常用的可视化建站组件 Gridbox 在 10 月 27 日发了 2.20.4.2，补掉排序参数注入与编辑任务越权两个问题，官方给出的最高等级是严重；用的是 2.20.4.1 及更早版本，就必须升级。
两个漏洞分别是什么
一个是存储与分类的排序注入。Gridbox 取博客文章列表时会把 URL 里的 sort-by 参数直接带进查询，旧代码没做白名单校验，构造过的参数就能变成 SQL 注入。修复方式不是加过滤函数，而是拿 getBlogPostsSortingList() 做严格白名单比对，不在名单里就退回安全默认值。这类修法值得记住：黑名单挡不住变体，白名单才行。
另一个是编辑器任务入口缺权限判断。本该先调用的 checkUserEditLevel() 在 EditorController::getBlogPosts() 里漏了，结果是未登录访客也能碰到本该需要权限的后台任务。补上之后，这类请求会先过权限，再谈返回什么数据。
两个编号是 CVE-2026-102788 与 CVE-2026-102789，由 Artur Błażewicz 报告，Joomla 安全打击小组的 David Jardin 协调披露，厂商已向订阅邮箱的客户发了通知。
为什么建站器类组件总在这两处出问题
可视化建站器天然要处理两件事：把用户的排版选择变成查询参数，以及给前台提供接近后台的编辑能力。前者容易漏白名单，后者容易漏权限。这两类问题在页面构建器、表单插件、主题选项框架里反复出现，因为它们的“配置面”比普通插件大得多——普通插件一个设置页，建站器可能有几十个可调参数和一个前台编辑入口。
所以判断一个建站器是否靠谱，看的不是模板多不多，而是它的参数有没有统一收敛、权限检查是不是集中在入口处。出事之后能一天内出补丁，也说明作者平时有在维护。
现在该怎么做
- 确认版本。后台组件列表看 Gridbox 版本号，低于 2.20.4.2 就要升。
- 升级前先备份。这类组件常改动模板覆盖文件，升级后要回前台看几个典型页面有没有排版错位。
- 站点开放了投稿或评论的，顺便查访问日志里有没有带 sort-by 或类似参数的可疑请求。
- 暂时升不了的，先把组件目录的写权限收掉，并在 WAF 层拦截异常排序参数的请求。
对站长的实际影响
Joomla 在国内存量不大，但用 Gridbox 这类建站器的站往往是“设计外包做完就交付”的类型，交付方不会回来提醒你升级。这两个问题里，越权那条不需要账号就能碰，排序注入取决于站点是否暴露对应列表页，叠加起来风险不低。这类组件还有一个隐性成本：授权到期后收不到更新通知，等于自己切断了补丁来源。买断式授权要记清楚到期日，这比漏洞本身更容易被忽略。
本文根据公开报道整理，主要参考：Balbooa 官方安全公告 Gridbox 2.20.4.2（2026-10-27）。
