CVE-2026-102425 in Forms Extension
要約
〜によって VulDB • 2026年09月29日
Joomla Extension - balbooa.com - Balbooa Forms < 2.4.3.4における認証不要のRCE（フィールドショートコードインジェクション経由）：Balbooa Formsは、公開フォームが送信された後に実行される管理者定義のPHPコードをサポートしています。この機能では、そのPHP内にフォームフィールドのショートコードを使用することも可能です。`eval()`を呼び出す前に、コンポーネントは各ショートコードを訪客によって投稿された生値に置換するため、RCEベクターとなります。攻撃対象となるには、公開フォームで製品のオプションである「送信後のPHP」アクションを使用し、二重引用符で囲まれたPHP文字列内に攻撃者が制御可能なフィールドのショートコードを挿入する必要があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.