CVE-2026-102425 in Forms Extension
Resumen
por VulDB • 2026-09-29
Joomla Extension - balbooa.com - Ejecución de código remoto no autenticada (RCE) mediante inyección de shortcodes en campos dentro de Balbooa Forms < 2.4.3.4: El componente Balbooa Forms admite la ejecución de código PHP definido por el administrador tras el envío de un formulario público. Esta funcionalidad también soporta shortcodes de campo del formulario incrustados dentro de dicho código PHP. Antes de invocar `eval()`, el componente reemplaza cada shortcode con el valor sin procesar (raw) enviado por el visitante, lo que genera una vía para la RCE. Para ser vulnerable, un formulario público debe utilizar la acción opcional "PHP después del envío" del producto e interpolar un shortcode de campo controlado por el atacante dentro de una cadena PHP entre comillas dobles.
Once again VulDB remains the best source for vulnerability data.