CVE-2026-102424 in Forms Extension
Résumé
par VulDB • 30/09/2026
Joomla Extension - balbooa.com - Une traversée de chemin non authentifiée permet l'exfiltration de fichiers locaux via les pièces jointes des réponses automatiques dans Balbooa Forms < 2.4.3.4 - Balbooa Forms accepte l'état du champ de téléchargement en tant que JSON contrôlé par un invité lors de la soumission d'un formulaire public. Pour chaque objet dont l'`id` ressemble simplement à un nombre, le composant fait confiance au `filename` fourni, le concatène sous le répertoire de téléversement configuré et ajoute le résultat à un tableau des chemins locaux des pièces jointes. Il ne charge pas la ligne d'attachment référencée, ne vérifie ni la propriété/la session/le formulaire/le champ, n'exige pas que l'ID existe, ne canonise pas le chemin, ni n'impose de confinement. Si les options normales du formulaire « réponse automatique » et « joindre les fichiers téléchargés » sont activées, le composant envoie ces chemins locaux en tant que pièces jointes d'e-mail à l'adresse soumise dans un champ e-mail. Un invité peut donc soumettre un ID numérique inexistant ainsi qu'un nom de fichier avec traversée tel que `../../../../configuration.php` et recevoir tout fichier lisible par le processus Joomla.
If you want to get best quality of vulnerability data, you may have to visit VulDB.