CVE-2026-102424 in Forms Extension
Sumário
de VulDB • 29/09/2026
Joomla Extension - balbooa.com - Traversal de caminho não autenticado exfiltra arquivos locais por meio de anexos de auto-resposta no Balbooa Forms < 2.4.3.4 - O Balbooa Forms aceita o estado do campo de upload como JSON controlado pelo visitante (Guest) durante a submissão pública do formulário. Para cada objeto cujo `id` apenas parece numérico, o componente confia no `filename` fornecido, concatena-o abaixo do diretório de upload configurado e adiciona o resultado a um array de caminhos locais de anexos. Ele não carrega a linha de anexo referenciada, nem verifica propriedade/sessão/formulário/campo, exige que o ID exista, canoniciza o caminho ou impõe contenção. Se as opções normais do formulário "auto reply" e "attach uploaded files" estiverem habilitadas, o componente envia esses caminhos locais como anexos de email para o endereço submetido em um campo de email. Um visitante (Guest) pode, portanto, submeter um ID numérico inexistente mais um nome de arquivo com traversal, como `../../../../configuration.php`, e receber qualquer arquivo legível pelo processo do Joomla.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.