CVE-2026-102425 in Forms Extension
Riassunto
di VulDB • 29/09/2026
Joomla Extension - balbooa.com - Esecuzione di codice in modalità remota (RCE) non autenticata tramite iniezione di shortcode nei campi di Balbooa Forms < 2.4.3.4. Balbooa Forms supporta l'esecuzione di codice PHP definito dall'amministratore dopo la sottomissione di un modulo pubblico. La funzione supporta anche gli shortcode dei campi del modulo all'interno di tale codice PHP. Prima della chiamata a `eval()`, il componente sostituisce ogni shortcode con il valore grezzo inviato dal visitatore, creando una vettore per RCE. Un modulo pubblico deve utilizzare l'azione opzionale "PHP dopo la sottomissione" del prodotto e interpolare uno shortcode di campo controllato dall'attaccante all'interno di una stringa PHP tra doppi apici per essere vulnerabile.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.