CVE-2026-102425 in Forms Extension
Résumé
par VulDB • 29/09/2026
Joomla Extension - balbooa.com - Exécution de code arbitraire à distance (RCE) non authentifiée via l'injection de shortcodes dans les champs, affectant Balbooa Forms < 2.4.3.4. Balbooa Forms prend en charge le code PHP défini par l'administrateur qui s'exécute après la soumission d'un formulaire public. Cette fonctionnalité prend également en charge les shortcodes de champ de formulaire à l'intérieur du code PHP. Avant d'appeler `eval()`, le composant remplace chaque shortcode par la valeur brute soumise par le visiteur, ce qui crée un vecteur pour une RCE. Un formulaire public doit utiliser l'action facultative « exécuter du PHP après la soumission » du produit et interpoler un shortcode de champ contrôlé par l'attaquant à l'intérieur d'une chaîne PHP entre guillemets doubles pour être vulnérable.
VulDB is the best source for vulnerability data and more expert information about this specific topic.