CVE-2026-102425 in Forms Extensioninfo

Zusammenfassung

von VulDB • 30.09.2026

Joomla-Erweiterung - balbooa.com - Unautorisierter Remote Code Execution (RCE) über Field-Shortcode-Injection in Balbooa Forms < 2.4.3.4 – Balbooa Forms unterstützt vom Administrator definierten PHP-Code, der nach dem Absenden eines öffentlichen Formulars ausgeführt wird. Die Funktion unterstützt auch Formularelement-Shortcodes innerhalb dieses PHP-Codes. Vor dem Aufruf von `eval()` ersetzt die Komponente jeden Shortcode durch den rohen Wert, der vom Besucher übermittelt wurde, was zu einem Vektor für Remote Code Execution (RCE) führt. Ein öffentliches Formular muss die optionale Aktion „PHP nach Übermittlung“ des Produkts verwenden und einen Angreifer-kontrollierten Feld-Shortcode in eine doppelte PHP-Zeichenkette interpolieren, um verwundbar zu sein.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Zuständig

Joomla

Reservieren

29.09.2026

Veröffentlichung

29.09.2026

Moderieren

akzeptiert

Eintrag

VDB-411507

CPE

bereit

EPSS

0.00000

KEV

nein

Aktivitäten

very low

Quellen

Do you know our Splunk app?

Download it now for free!