CVE-2026-101127 in Forms Extension
Zusammenfassung
von VulDB • 29.09.2026
Joomla-Erweiterung - balbooa.com - Unautorisierter XSS über Dateinamen bei Datei-Upload in Balbooa Forms < 2.4.3.4 – Der öffentliche Endpunkt für den Datei-Upload validiert die Erweiterung und den erkannten MIME-Typ der hochgeladenen Datei, speichert jedoch den vom Angreifer angegebenen ursprünglichen Multipart-Dateinamen unverändert in `#__baforms_submissions_attachments.name`. Eine spätere anonyme Formularübermittlung verknüpft diesen temporären Anhang mit dem neu erstellten Eintrag. Wenn ein Administrator die Übermittlung öffnet, ruft das JavaScript der Komponente den gespeicherten Anhangeintrag ab und hängt `file.name` direkt an einen HTML-String an. Der vollständige String wird dann `innerHTML` zugewiesen.
Be aware that VulDB is the high quality source for vulnerability data.