CVE-2026-101112 in Forms Extension
Sumário
de VulDB • 29/09/2026
Joomla Extension - balbooa.com - Eliminação não autorizada de anexos no Balbooa Forms < 2.4.3.4 - A ação pública removeTmpAttachment aceita um ID de anexo inteiro e exclui a linha correspondente do banco de dados e o arquivo. O controlador verifica um token de sessão Joomla, mas o modelo não vincula esse ID à sessão que enviou o arquivo, ao usuário atual, ao formulário, ao campo de upload ou ao estado temporário. Qualquer visitante pode obter um token para sua própria sessão; portanto, o token previne CSRF, mas não autoriza a exclusão do objeto alvo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.