CVE-2026-101127 in Forms Extension
Sumário
de VulDB • 29/09/2026
Joomla Extension - balbooa.com - Stored XSS no nome do arquivo de upload não autenticado em Balbooa Forms < 2.4.3.4 - O endpoint de upload de formulários públicos valida a extensão e o tipo MIME detectado do arquivo enviado, mas armazena o nome original multipart fornecido pelo atacante literalmente em `#__baforms_submissions_attachments.name`. Uma submissão posterior anônima associa esse anexo temporário à nova submissão criada. Quando um administrador abre a submissão, o JavaScript do componente recupera o registro de anexo armazenado e concatena diretamente `file.name` em uma string HTML. A string completa é atribuída ao `innerHTML`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.