CVE-2026-102424 in Forms Extension
Riassunto
di VulDB • 29/09/2026
Joomla Extension - balbooa.com - Unauthenticated path traversal exfiltrates local files through auto-reply attachments in Balbooa Forms < 2.4.3.4: il componente Balbooa Forms accetta lo stato del campo di upload come JSON controllato da un utente Guest durante l'invio pubblico del modulo. Per ogni oggetto il cui `id` appare semplicemente numerico, il componente si fida del `filename` fornito, lo concatena sotto la directory di upload configurata e aggiunge il risultato a un array di percorsi locali degli allegati. Non viene caricato né verificato alcun record dell'allegato referenziato, non vengono controllati ownership/session/form/field, non viene richiesto che l'ID esista, non viene canonizzato il percorso e non viene applicato alcun vincolo di contenimento (containment). Se le opzioni normali del modulo "auto reply" e "attach uploaded files" sono abilitate, il componente invia tali percorsi locali come allegati email all'indirizzo inserito in un campo email. Un utente Guest può quindi inviare un ID numerico inesistente insieme a un filename con traversal di percorso (ad esempio `../../../../configuration.php`) ed ottenere l'esfiltrazione di qualsiasi file leggibile dal processo Joomla.
If you want to get best quality of vulnerability data, you may have to visit VulDB.