CVE-2026-101127 in Forms Extension
الملخص
بحسب VulDB • 29/09/2026
Joomla Extension - balbooa.com - Stored XSS في اسم ملف الرفع غير المصادق عليه في Balbooa Forms < 2.4.3.4 - نقطة نهاية رفع الملفات العامة تتحقق من امتداد الملف المُرفع ونوع MIME المكتشف، لكنها تخزن الاسم الأصلي للملف متعدد الأجزاء الذي زوده المهاجم حرفياً (verbatim) في `#__baforms_submissions_attachments.name`. لاحقاً، يرتبط تقديم نموذج مجهول ذلك المرفق المؤقت بتقديم جديد تم إنشاؤه. عند فتح المسؤول للتقديم، يسترجع جافا سكريبت المكون سجل المرفق المخزن ويُلحق `file.name` مباشرةً داخل سلسلة HTML. تُسند السلسلة الكاملة إلى `innerHTML`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.