Joomla 拡張 Gridbox の CVE 19 件（CVE-2026-65884・65887・65888・65890 ほか）: 認証なしの SQL インジェクション・パスワード再設定・アカウント乗っ取り（CVSS v3.1 最高 9.8。2.20.5.0 で修正）

Joomla 用のページビルダー拡張 Gridbox（balbooa.com 製）に、2026 年 7 月から 11 月にかけて計 19 件の欠陥が NVD に登録されました。登録元は Joomla のセキュリティチーム（security@joomla.org）です。11 月 5 日（日本時間 11 月 6 日未明）に、2.20.5.0 で直る 4 件が追加されました。このうち、認証なしで突ける深刻な 4 件は CVE-2026-65884・CVE-2026-65887・CVE-2026-65888・CVE-2026-65890 で、NVD の CVSS v3.1 は 9.8 です。

認証なしで悪用できる深刻な欠陥（7 月登録。2.20.2 で修正）

CVE	内容	CVSS v3.1
CVE-2026-65884	登録機能が、利用者の指定したユーザーグループ ID をそのまま受け入れる。認証なしで新しいアカウントを作り、権限の高いグループに入れる	9.8
CVE-2026-65887	resetPassword 処理で、任意の利用者のパスワードを認証なしで再設定でき、そのアカウントでログインされる	9.8
CVE-2026-65888	socialLogin 処理で、任意の利用者としてログインされる（アカウント乗っ取り）	9.8
CVE-2026-65890	複数の経路で認証なしの SQL インジェクション	9.8
CVE-2026-65886	フォトビューアーで、認証なしに任意のファイルを読まれる	7.5

ほかの欠陥

• 2.20.2 で修正（7 月登録）: 認証済みの任意ファイルアップロードによるコード実行（CVE-2026-65885、8.8）／管理画面の複数の CSRF（CVE-2026-65947、7.3）／コメントのアバター経由の格納型 XSS（CVE-2026-66490、6.1）／ファイルシステム情報の開示（CVE-2026-66489、5.3）／支払いの回避（CVE-2026-66488、5.3）。
• 1.6.0 より前（7 月登録）: 認証の回避で、管理者権限に達する恐れ（CVE-2026-61425。CVSS v4.0 のみで 9.4）。
• 2.20.4.0 で修正（10 月 8 日登録）: 画像プレビューのパストラバーサル（CVE-2026-102783。登録元は影響が小さい「Low」と評価）／言語パックのインストール機能の CSRF（CVE-2026-102784。CVSS v4.0 で 8.7。GET でも実行でき、管理者を誘導して実行させる）。
• 2.20.4.2 で修正（10 月 27 日登録）: 店舗の商品一覧の並べ替えパラメーター（sort-by）経由の認証なし SQL インジェクション（CVE-2026-102788、CVSS v4.0 9.3）／エディターの getBlogPosts に権限確認がない（CVE-2026-102789、同 9.3）。
• 2.20.5.0 で修正（11 月 5 日登録）: 「最新コメント／レビュー」ウィジェットの格納型 XSS（CVE-2026-105607、v3.1 8.3）／レビューの無害化の不整合による格納型 XSS（CVE-2026-107903、v3.1 8.3）／パストラバーサルによる任意ファイル削除（CVE-2026-107129。NVD の見出しは認証なしだが、v3.1 は PR:H の 5.5）／送信データ・フィールドのファイルの認証なし削除（CVE-2026-107130。CVSS v4.0 6.9）。

評価と severity 案

• 認証不要（PR:N）で CVSS v3.1 が 9 以上のものが 4 件あるため、severity は critical を案とします。確定はオーナーの判断待ちです。
• 2.20.4.2 の 2 件（102788・102789）と、1.6.0 より前の 61425 は、NVD に v3.1 の点数がなく、v4.0（登録元）のみです。
• 11 月 5 日に登録された 4 件は、NVD の評価がまだ確定していない状態（Received）です。

影響を受ける版と修正

• 登録された最新の修正版は 2.20.5.0 です。NVD の記述の範囲では、上の 19 件はそれ以前の版が対象です（記述は「Gridbox < 各版」の形）。最新版に上げれば全件が直る見込みですが、各版の変更内容の突き合わせは未確認です。
• 配布元（balbooa.com/gridbox）の更新案内が、NVD の参照先です。

利用者が考えられること

1. Gridbox を使っている Joomla サイトで、導入版を確認し、2.20.5.0 以降に更新します。
2. 更新できない間は、Gridbox のサイト向け機能（登録・ログイン・ソーシャルログイン・店舗の一覧）の公開を止めるか、WAF などで絞ることを検討します。
3. 2.20.2 より前の版を使っていた期間がある場合は、見覚えのないアカウント、管理者グループの変更、パスワード再設定の履歴、不審なファイルの有無を確認します。
4. アップロードされたファイルと、コメント・レビュー欄の投稿内容も点検します。

未確認の点

• 実際の悪用の有無（NVD の記述に悪用の記載はありません。KEV 掲載なし。EPSS は 7 月登録の 6 件と 102788 で 0.4〜0.6%、そのほかは未付与）。
• 各 CVE の個別の再現条件と、修正コミット・配布元の更新内容（本稿では配布元の中身を開いていません）。
• 11 月 5 日登録の 4 件の NVD 最終評価。
• 2.20.2〜2.20.5.0 の間の版ごとの残存状況。