CVE-2026-102424 in Forms Extension
Zusammenfassung
von VulDB • 30.09.2026
Joomla-Erweiterung - balbooa.com - Unautorisierter Path-Traversal führt zur Exfiltration lokaler Dateien über Auto-Antwort-Anhänge in Balbooa Forms < 2.4.3.4. Balbooa Forms akzeptiert den Status des Upload-Feldes als vom Gast (Guest) kontrolliertes JSON während der öffentlichen Formularübermittlung. Für jedes Objekt, dessen `id` lediglich numerisch aussieht, vertraut die Komponente dem angegebenen `filename`, hängt es an das konfigurierte Upload-Verzeichnis an und fügt das Ergebnis zu einem Array lokaler Anhängepfade hinzu. Es wird weder die referenzierte Anhangszeile geladen, noch Eigentum/Sitzung/Formular/Feld überprüft, noch wird verlangt, dass die ID existiert, der Pfad kanonisiert oder die Eindämmung (Containment) durchgesetzt wird. Wenn die normalen Optionen „Auto-Antwort“ und „Hochgeladene Dateien anhängen“ des Formulars aktiviert sind, sendet die Komponente diese lokalen Pfade als E-Mail-Anhänge an die in einem E-Mail-Feld angegebene Adresse. Ein Gast kann daher eine nicht existierende numerische ID sowie einen Traversal-Dateinamen wie `../../../../configuration.php` übermitteln und erhält jede Datei, die vom Joomla-Prozess lesbar ist.
If you want to get best quality of vulnerability data, you may have to visit VulDB.