Gridbox : injection SQL non authentifiée via le tri des produits

Veille sécuritéCMS & e-commerce

P3Critique

CVE-2026-102788 est une injection SQL non authentifiée dans Gridbox, affectant les versions antérieures à 2.20.4.2. Sur les pages de liste de produits, le paramètre d’URL de tri peut être inséré dans une clause ORDER BY sans validation par liste d’autorisation.

IdentifiantCVE-2026-102788

GravitéCritique

Exploitationnon connue / non déterminée

Correctif2.20.4.2

Source : CVE-2026-102788 — NVD

Analyse technique

Le paramètre d’URL de tri est filtré comme chaîne puis transmis à GridboxHelper::getBlogPosts(). Une valeur ne correspondant pas aux clés de tri connues est préfixée d’un alias de table et insérée dans ORDER BY sans contrôle par liste d’autorisation.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-27, dans la période demandée. L’événement retenu est la publication de la vulnérabilité, et non sa mise à jour ultérieure.

ImpactUne injection SQL exploitable sans authentification peut affecter la base de données du site.

Versions affectéesGridbox antérieur à 2.20.4.2

Version corrigée2.20.4.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.3

EPSS0,39% · percentile 32,5%

Publication2026-10-27T10:16:53.780Z

Mise à jour2026-10-27T15:08:50.630Z

Détection / vérification

Vérifier la version de Gridbox installée et examiner les paramètres de tri utilisés sur les pages de liste de produits.

Action recommandée

Mettre à jour Gridbox vers la version 2.20.4.2 ou une version ultérieure.

Sources

CVE-2026-102788 — NVD

Priorisation DFS : P3 · 1 source(s).