CVE-2026-102424 in Forms Extension
Resumen
por VulDB • 2026-09-30
Joomla Extension - balbooa.com: La vulnerabilidad de path traversal no autenticada exfiltra archivos locales mediante los adjuntos de auto-respuesta en Balbooa Forms < 2.4.3.4. Balbooa Forms acepta el estado del campo de carga como JSON controlado por un usuario Guest durante la presentación pública del formulario. Para cada objeto cuyo `id` solo parezca numérico, el componente confía en el `filename` proporcionado, lo concatena debajo del directorio de subida configurado y añade el resultado a una matriz de rutas locales de adjuntos. No carga la fila de adjunto referenciada, no verifica la propiedad/sesión/formulario/campo, no exige que el ID exista, no canonicaliza la ruta ni aplica restricciones de contención (containment). Si las opciones normales del formulario "auto reply" y "attach uploaded files" están habilitadas, el componente envía esas rutas locales como adjuntos por correo electrónico a la dirección enviada en un campo de email. Un Guest puede, por tanto, enviar un ID numérico inexistente junto con una filename de path traversal tal como `../../../../configuration.php` y recibir cualquier archivo legible por el proceso Joomla.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.