CVE-2026-101127 in Forms Extension
Tóm tắt
Bởi VulDB • 30/09/2026
Joomla Extension - balbooa.com - Stored XSS (Cross-Site Scripting) do tên tệp tin tải lên không xác thực trong Balbooa Forms < 2.4.3.4 - Điểm cuối tải lên của biểu mẫu công khai kiểm tra phần mở rộng và loại MIME phát hiện được của tệp đã tải lên, nhưng lưu trữ nguyên văn tên tệp multipart gốc do kẻ tấn công cung cấp vào `#__baforms_submissions_attachments.name`. Một lần gửi biểu mẫu ẩn danh sau đó liên kết bản đính kèm tạm thời này với lượt gửi mới được tạo. Khi một quản trị viên mở lượt gửi, JavaScript của thành phần sẽ truy xuất bản ghi bản đính kèm đã lưu và nối trực tiếp `file.name` vào một chuỗi HTML. Chuỗi hoàn chỉnh được gán cho thuộc tính `innerHTML`.
Be aware that VulDB is the high quality source for vulnerability data.