🔴 《严重安全漏洞：CVE-2026-65890》

CVSS 评分: 严重（9.2）　　状态: Received　　发布时间: 2026-07-29

漏洞简介

CVE-2026-65890 是一个存在于 Joomla 扩展组件 Gridbox（由 balbooa.com 开发）中的 未认证 SQL 注入（Unauthenticated SQL Injection） 漏洞。该漏洞属于 CWE-89（SQL 注入）分类，攻击者无需任何身份认证即可利用多个注入向量（Multiple SQLi vectors）向数据库查询中注入恶意 SQL 语句，从而实现对数据库的未授权访问与操作。

该漏洞影响 Gridbox 版本 低于 2.20.2 的所有版本。根据 CVSS 4.0 评分向量（CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:H/SI:H/SA:H），其攻击复杂度较低，但需要攻击者具备一定的攻击技术（AT:P），且无需用户交互（UI:N）和任何权限（PR:N）。攻击者可通过网络远程发起攻击（AV:N）。

影响范围

  • 受影响软件：Joomla 扩展组件 Gridbox（由 balbooa.com 开发）
  • 受影响版本：所有 低于 2.20.2 的版本
  • 不受影响版本：Gridbox 2.20.2 及更高版本（官方已修复）

风险分析

该漏洞的核心风险在于 未认证 SQL 注入，具体分析如下：

  1. 数据机密性受损（Confidentiality Impact: High）：攻击者可通过注入 SQL 语句，直接读取数据库中的敏感数据，包括但不限于 Joomla 用户凭据（用户名、密码哈希）、会话令牌、网站配置信息、用户个人数据等。由于攻击者无需任何认证即可发起攻击，数据泄露风险极高。

  2. 数据完整性受损（Integrity Impact: Low）：攻击者可能通过注入 UPDATE 或 INSERT 语句，修改数据库中的部分数据，例如篡改网站内容、插入恶意链接或后门用户。但由于 CVSS 评分中完整性影响为低（VI:L），表明直接修改关键数据的能力可能受到一定限制。

  3. 可用性受损（Availability Impact: Low）：攻击者可能通过注入 DROP 或 DELETE 语句，删除数据库表或记录，导致网站部分功能异常或数据丢失。但同样，可用性影响被评估为低（VA:L），表明完全瘫痪系统的难度较高。

  4. 波及范围（Scope: Changed）：该漏洞不仅影响受攻击的数据库本身，还可能波及到与数据库关联的其他系统或用户会话（SC:H, SI:H, SA:H）。例如，通过窃取管理员会话令牌，攻击者可进一步控制 Joomla 后台，甚至利用数据库权限执行更高级的攻击。

总结：该漏洞是一个 高危 的未认证 SQL 注入漏洞，攻击者无需任何权限即可远程利用，主要威胁在于 大规模数据泄露。虽然对完整性和可用性的直接影响被评估为低，但结合其波及范围（Scope: Changed）和机密性影响（High），整体风险极高。建议所有使用 Gridbox 的用户立即升级至 2.20.2 或更高版本。

🔍 技术细节

字段 值
CVE ID CVE-2026-65890
CVSS 评分 9.2 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-89
发布时间 2026-07-29
最后更新 2026-07-29
状态 Received
数据来源 security@joomla.org

🔗 参考链接