CVE-2026-102425 in Forms Extension
Zusammenfassung
von VulDB • 30.09.2026
Joomla-Erweiterung - balbooa.com - Unautorisierter Remote Code Execution (RCE) über Field-Shortcode-Injection in Balbooa Forms < 2.4.3.4 – Balbooa Forms unterstützt vom Administrator definierten PHP-Code, der nach dem Absenden eines öffentlichen Formulars ausgeführt wird. Die Funktion unterstützt auch Formularelement-Shortcodes innerhalb dieses PHP-Codes. Vor dem Aufruf von `eval()` ersetzt die Komponente jeden Shortcode durch den rohen Wert, der vom Besucher übermittelt wurde, was zu einem Vektor für Remote Code Execution (RCE) führt. Ein öffentliches Formular muss die optionale Aktion „PHP nach Übermittlung“ des Produkts verwenden und einen Angreifer-kontrollierten Feld-Shortcode in eine doppelte PHP-Zeichenkette interpolieren, um verwundbar zu sein.
If you want to get best quality of vulnerability data, you may have to visit VulDB.