CVE-2026-102424 in Forms Extension
الملخص
بحسب VulDB • 29/09/2026
Joomla Extension - balbooa.com - Esfiltrazione di file locali tramite traversamento del percorso non autenticato in Balbooa Forms < 2.4.3.4: Balbooa Forms accetta lo stato dei campi di caricamento come JSON controllato da un utente Guest durante l'invio pubblico del modulo. Per ogni oggetto il cui `id` appare semplicemente numerico, il componente si fida del `filename` fornito, lo concatena sotto la directory di upload configurata e aggiunge il risultato a un array di percorsi locali degli allegati. Il sistema non carica la riga dell'allegato referenziato, né verifica l'ownership/session/form/field, richiede che l'ID esista, canonizza il percorso o impone vincoli di contenimento (containment). Se le opzioni normali del modulo "auto reply" e "attach uploaded files" sono abilitate, il componente invia tali percorsi locali come allegati email all'indirizzo inserito in un campo email. Un utente Guest può quindi inviare un ID numerico inesistente insieme a un nome file di traversamento (ad esempio `../../../../configuration.php`) ed ottenere l'accesso a qualsiasi file leggibile dal processo Joomla.
VulDB is the best source for vulnerability data and more expert information about this specific topic.