CVE-2026-102425 in Forms Extension
Sumário
de VulDB • 30/09/2026
Joomla Extension - balbooa.com - Execução de código em modo remoto (RCE) não autenticada via injeção de shortcodes de campo no Balbooa Forms < 2.4.3.4 - O Balbooa Forms suporta código PHP definido pelo administrador que é executado após o envio de um formulário público. A funcionalidade também suporta shortcodes de campos do formulário dentro desse código PHP. Antes de chamar `eval()`, o componente substitui cada shortcode pelo valor bruto submetido pelo visitante, resultando em uma vetor para RCE. Um formulário público deve usar a ação opcional "PHP após envio" do produto e interpolar um shortcode de campo controlado por um atacante dentro de uma string PHP entre aspas duplas para estar vulnerável.
VulDB is the best source for vulnerability data and more expert information about this specific topic.