---
title: "Joomla 拡張 Gridbox の CVE 19 件（CVE-2026-65884・65887・65888・65890 ほか）: 認証なしの SQL インジェクション・パスワード再設定・アカウント乗っ取り（CVSS v3.1 最高 9.8。2.20.5.0 で修正）"
url: https://n-t-p.io/worldsecurity/articles/gridbox-joomla-extension-19-cves-unauth-sqli-password-reset-account-takeover-fixed-in-2-20-5-0
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-65884, CVE-2026-65887, CVE-2026-65888, CVE-2026-65890, CVE-2026-65886, CVE-2026-65885, CVE-2026-65947, CVE-2026-66490, CVE-2026-66489, CVE-2026-66488, CVE-2026-61425, CVE-2026-102783, CVE-2026-102784, CVE-2026-102788, CVE-2026-102789, CVE-2026-105607, CVE-2026-107903, CVE-2026-107129, CVE-2026-107130
---

# Joomla 拡張 Gridbox の CVE 19 件（CVE-2026-65884・65887・65888・65890 ほか）: 認証なしの SQL インジェクション・パスワード再設定・アカウント乗っ取り（CVSS v3.1 最高 9.8。2.20.5.0 で修正）

> **TL;DR:** Joomla のページビルダー拡張 Gridbox に 19 件の欠陥。認証なしでパスワード再設定・なりすましログイン・特権アカウント登録・SQL インジェクションができる 4 件は CVSS v3.1 9.8。最新の修正版は 2.20.5.0。悪用は未確認。

**要点**
- 認証なしで悪用できる 4 件（CVE-2026-65884 特権グループへの登録、65887 任意のパスワード再設定、65888 なりすましログイン、65890 SQL インジェクション）は CVSS v3.1 9.8。7 月登録、2.20.2 で修正。
- 10 月・11 月にも、認証なしの SQL インジェクション（CVE-2026-102788）、権限確認の欠落（102789）、格納型 XSS 2 件、ファイル削除 2 件などが追加され、2.20.5.0 で修正された。
- severity 案は critical（認証不要かつ CVSS 9 以上）。一部は NVD の v3.1 点数がなく v4.0 のみ。11 月登録分は評価未確定。
- Gridbox を使う Joomla サイトは 2.20.5.0 以降へ更新し、旧版を使っていた期間の不審なアカウント・権限・ファイルを確認する。
- 悪用の有無・各 CVE の個別の再現条件・配布元の更新内容は未確認。KEV 掲載なし。

Joomla 用のページビルダー拡張 **Gridbox**（balbooa.com 製）に、2026 年 7 月から 11 月にかけて計 19 件の欠陥が NVD に登録されました。登録元は Joomla のセキュリティチーム（security@joomla.org）です。11 月 5 日（日本時間 11 月 6 日未明）に、2.20.5.0 で直る 4 件が追加されました。このうち、認証なしで突ける深刻な 4 件は **CVE-2026-65884・CVE-2026-65887・CVE-2026-65888・CVE-2026-65890** で、NVD の CVSS v3.1 は 9.8 です。

## 認証なしで悪用できる深刻な欠陥（7 月登録。2.20.2 で修正）
| CVE | 内容 | CVSS v3.1 |
|---|---|---|
| CVE-2026-65884 | 登録機能が、利用者の指定したユーザーグループ ID をそのまま受け入れる。認証なしで新しいアカウントを作り、権限の高いグループに入れる | 9.8 |
| CVE-2026-65887 | resetPassword 処理で、任意の利用者のパスワードを認証なしで再設定でき、そのアカウントでログインされる | 9.8 |
| CVE-2026-65888 | socialLogin 処理で、任意の利用者としてログインされる（アカウント乗っ取り） | 9.8 |
| CVE-2026-65890 | 複数の経路で認証なしの SQL インジェクション | 9.8 |
| CVE-2026-65886 | フォトビューアーで、認証なしに任意のファイルを読まれる | 7.5 |

## ほかの欠陥
- **2.20.2 で修正（7 月登録）:** 認証済みの任意ファイルアップロードによるコード実行（CVE-2026-65885、8.8）／管理画面の複数の CSRF（CVE-2026-65947、7.3）／コメントのアバター経由の格納型 XSS（CVE-2026-66490、6.1）／ファイルシステム情報の開示（CVE-2026-66489、5.3）／支払いの回避（CVE-2026-66488、5.3）。
- **1.6.0 より前（7 月登録）:** 認証の回避で、管理者権限に達する恐れ（CVE-2026-61425。CVSS v4.0 のみで 9.4）。
- **2.20.4.0 で修正（10 月 8 日登録）:** 画像プレビューのパストラバーサル（CVE-2026-102783。登録元は影響が小さい「Low」と評価）／言語パックのインストール機能の CSRF（CVE-2026-102784。CVSS v4.0 で 8.7。GET でも実行でき、管理者を誘導して実行させる）。
- **2.20.4.2 で修正（10 月 27 日登録）:** 店舗の商品一覧の並べ替えパラメーター（sort-by）経由の認証なし SQL インジェクション（CVE-2026-102788、CVSS v4.0 9.3）／エディターの getBlogPosts に権限確認がない（CVE-2026-102789、同 9.3）。
- **2.20.5.0 で修正（11 月 5 日登録）:** 「最新コメント／レビュー」ウィジェットの格納型 XSS（CVE-2026-105607、v3.1 8.3）／レビューの無害化の不整合による格納型 XSS（CVE-2026-107903、v3.1 8.3）／パストラバーサルによる任意ファイル削除（CVE-2026-107129。NVD の見出しは認証なしだが、v3.1 は PR:H の 5.5）／送信データ・フィールドのファイルの認証なし削除（CVE-2026-107130。CVSS v4.0 6.9）。

## 評価と severity 案
- 認証不要（PR:N）で CVSS v3.1 が 9 以上のものが 4 件あるため、severity は **critical** を案とします。確定はオーナーの判断待ちです。
- 2.20.4.2 の 2 件（102788・102789）と、1.6.0 より前の 61425 は、NVD に v3.1 の点数がなく、v4.0（登録元）のみです。
- 11 月 5 日に登録された 4 件は、NVD の評価がまだ確定していない状態（Received）です。

## 影響を受ける版と修正
- 登録された最新の修正版は **2.20.5.0** です。NVD の記述の範囲では、上の 19 件はそれ以前の版が対象です（記述は「Gridbox < 各版」の形）。最新版に上げれば全件が直る見込みですが、各版の変更内容の突き合わせは未確認です。
- 配布元（balbooa.com/gridbox）の更新案内が、NVD の参照先です。

## 利用者が考えられること
1. Gridbox を使っている Joomla サイトで、導入版を確認し、2.20.5.0 以降に更新します。
2. 更新できない間は、Gridbox のサイト向け機能（登録・ログイン・ソーシャルログイン・店舗の一覧）の公開を止めるか、WAF などで絞ることを検討します。
3. 2.20.2 より前の版を使っていた期間がある場合は、見覚えのないアカウント、管理者グループの変更、パスワード再設定の履歴、不審なファイルの有無を確認します。
4. アップロードされたファイルと、コメント・レビュー欄の投稿内容も点検します。

## 未確認の点
- 実際の悪用の有無（NVD の記述に悪用の記載はありません。KEV 掲載なし。EPSS は 7 月登録の 6 件と 102788 で 0.4〜0.6%、そのほかは未付与）。
- 各 CVE の個別の再現条件と、修正コミット・配布元の更新内容（本稿では配布元の中身を開いていません）。
- 11 月 5 日登録の 4 件の NVD 最終評価。
- 2.20.2〜2.20.5.0 の間の版ごとの残存状況。


## 出典
- [NVD CVE-2026-65884](https://nvd.nist.gov/vuln/detail/CVE-2026-65884) — NIST NVD
- [NVD CVE-2026-65887](https://nvd.nist.gov/vuln/detail/CVE-2026-65887) — NIST NVD
- [NVD CVE-2026-65888](https://nvd.nist.gov/vuln/detail/CVE-2026-65888) — NIST NVD
- [NVD CVE-2026-65890](https://nvd.nist.gov/vuln/detail/CVE-2026-65890) — NIST NVD
- [NVD CVE-2026-65886](https://nvd.nist.gov/vuln/detail/CVE-2026-65886) — NIST NVD
- [NVD CVE-2026-65885](https://nvd.nist.gov/vuln/detail/CVE-2026-65885) — NIST NVD
- [NVD CVE-2026-65947](https://nvd.nist.gov/vuln/detail/CVE-2026-65947) — NIST NVD
- [NVD CVE-2026-66490](https://nvd.nist.gov/vuln/detail/CVE-2026-66490) — NIST NVD
- [NVD CVE-2026-66489](https://nvd.nist.gov/vuln/detail/CVE-2026-66489) — NIST NVD
- [NVD CVE-2026-66488](https://nvd.nist.gov/vuln/detail/CVE-2026-66488) — NIST NVD
- [NVD CVE-2026-61425](https://nvd.nist.gov/vuln/detail/CVE-2026-61425) — NIST NVD
- [NVD CVE-2026-102783](https://nvd.nist.gov/vuln/detail/CVE-2026-102783) — NIST NVD
- [NVD CVE-2026-102784](https://nvd.nist.gov/vuln/detail/CVE-2026-102784) — NIST NVD
- [NVD CVE-2026-102788](https://nvd.nist.gov/vuln/detail/CVE-2026-102788) — NIST NVD
- [NVD CVE-2026-102789](https://nvd.nist.gov/vuln/detail/CVE-2026-102789) — NIST NVD
- [NVD CVE-2026-105607](https://nvd.nist.gov/vuln/detail/CVE-2026-105607) — NIST NVD
- [NVD CVE-2026-107903](https://nvd.nist.gov/vuln/detail/CVE-2026-107903) — NIST NVD
- [NVD CVE-2026-107129](https://nvd.nist.gov/vuln/detail/CVE-2026-107129) — NIST NVD
- [NVD CVE-2026-107130](https://nvd.nist.gov/vuln/detail/CVE-2026-107130) — NIST NVD
- [Gridbox（balbooa.com。NVD の参照先。中身は未取得）](https://www.balbooa.com/gridbox) — balbooa.com
- [FIRST EPSS API（7 月登録の 6 件と CVE-2026-102788 のみ付与）](https://api.first.org/data/v1/epss?cve=CVE-2026-65884,CVE-2026-65887,CVE-2026-65888,CVE-2026-65890) — FIRST
- [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/gridbox-joomla-extension-19-cves-unauth-sqli-password-reset-account-takeover-fixed-in-2-20-5-0