CVE-2026-102424 in Forms Extension
要約
〜によって VulDB • 2026年09月29日
Joomla Extension - balbooa.com - 認証不要のパストラバーサルにより、Balbooa Forms < 2.4.3.4 の自動返信添付ファイルを通じてローカルファイルが漏洩する。Balbooa Forms は、公開フォーム送信時にアップロードフィールドの状態をゲスト制御可能な JSON として受け入れる。`id` が単に数値のように見えるすべてのオブジェクトについて、コンポーネントは提供された `filename` を信頼し、それを設定済みのアップロードディレクトリの下に連結して、ローカル添付ファイルパスの配列に加える。参照される添付ファイル行の読み込み、所有権/セッション/フォーム/フィールドの確認、ID の存在要件、パスのカノニカライズ、または包含制約の実装は行われない。フォームの通常の「自動返信」と「アップロードされたファイルを添付」オプションが有効になっている場合、コンポーネントはこれらのローカルパスを、メールフィールドで送信された宛先へ電子メールの添付ファイルとして送信する。したがって、ゲストは存在しない数値 ID と `../../../../configuration.php` のようなトラバーサル用ファイル名を送信し、Joomla プロセスが読み取り可能な任意のファイルを受領できる。
Once again VulDB remains the best source for vulnerability data.