十天前我们刚报道 Gridbox 2.20.4.2 修复两个 CVSS 9.3 的未认证 SQL 注入，11 月 4 日 Balbooa 又发布了 2.20.5.0——这已经是 Gridbox 自 7 月以来的第六个安全版本。但这一轮和前五轮有一个本质区别：漏洞不再是外部研究人员报出来的，而是 Balbooa 自己用自动化安全分析工具加产品内部知识做深度自查发现的。从一个"被追着修"的负面典型，到主动翻开自己的代码找问题——这个转折比四个漏洞本身更值得写。

四个漏洞：删文件比想象中容易

四个 CVE 已在 Joomla 安全团队的 David Jardin 协助下分配（CVE-2026-105607、107129、107130、107903，发布当晨记录尚未公开，官方整体评级 High）。最严重的一个：评论和评价的临时附件清理任务无需登录即可调用，而且不检查要删的文件是否在上传目录内——典型的路径穿越（CWE-22），mySites.guru 评估 CVSS 4.0 达 8.8。也就是说，一个没有账号的访客可以按名字让站点删除文件，站点运行所需的文件都在射程之内。第二个是表单提交附件的删除缺陷（IDOR，CWE-639）：不校验请求者身份，别人提交的表单附件可以被删掉。第三、四个是评论区与评价系统的存储型 XSS（CWE-79）：留言内容在"最近评论/评价"组件和评价详情页未经净化直接回显——如果游客评论开着，攻击者甚至不需要账号。特别提醒：在前端查看这些评论的管理员账号，正是攻击者最想劫持的会话。

六轮修复的时间线，和一个转折点

把 Gridbox 的 2026 年下半年拉出来看：7 月 2.20.1 修复 Cookie 认证绕过（一个 Cookie 换超管）；同月 2.20.2 修复外部审计发现的 23 个漏洞；9 月 21 日 2.20.3.1 修复博客作者盲注；10 月 8 日 2.20.4.0 修复语言安装 CSRF 和图片预览路径检查；10 月 27 日 2.20.4.2 修复两个 9.3 级 SQL 注入；11 月 4 日 2.20.5.0 是第六轮。前五轮全部始于公司外部——7 月是安全公司的主动研究，之后是各路独立研究员。而 2.20.5.0 是第一次 Balbooa 自己发现问题，还罕见地发布了 Security Deep Dive 博客文公开披露细节。持续披露的独立分析方也明确给出了正面评价："这是正确的方向。"对照上个月我们写过的另一类反面教材——部分扩展商漏洞挂着无人响应、维护断档数月——Gridbox 展示的是同一枚硬币的另一面：响应快、修复勤，只是被动的快永远追不上漏洞产生的速度，主动审计才是把"下一个漏洞"提前消化的方式。

给中文用户的建议

所有 Gridbox 用户：立即更新到 2.20.5.0。监测数据显示发布当晨约 92% 的 Gridbox 站点仍在受影响版本上（86% 停在八天前刚出的 2.20.4.2）——"上周才更新过"不是安全垫，这半年的每一轮都在推翻上一轮的版本号。开了游客评论或评价功能的站点：如果业务上不需要，这周就把它们关掉——存储型 XSS 的注入前提正是可匿名写入。升级前后的检查：删除类漏洞的痕迹不好查，建议核对媒体管理器中评论/评价附件目录的文件数量是否符合预期；同时照例审计一次管理员账户列表，确认没有陌生账号。建站公司：代维清单里的 Gridbox 站点全部过一遍版本核查——六轮修复意味着 2.20.3.1、2.20.4.0、2.20.4.2 每个中间版本都带着不同的已知漏洞，只有最新版才干净。

总结

我们报道过 Quix 的注入、Phoca 的版本线缺口、Gridbox 的双 9.3，语气都算不上客气；今天这篇愿意承认进步：一个曾经只靠外部压力才动起来的开发商，开始自己扫描自己的代码、主动披露发现、给漏洞配上编号和深度剖析——这是 Joomla 扩展生态里值得被看见的转变。当然，结论不变：2.20.5.0 不是终点，是第六个逗号。安全不是一次更新，而是一个过程——Balbooa 自己的这句话，值得每个站长抄在升级清单的页眉上。