CVE-2026-67364
KrytyczneCVSS 10.0Streszczenie
Krytyczna podatność (CVSS 9.8) w rozszerzeniu Joomla Balbooa Forms w wersjach starszych niż 2.4.3.2. Umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie i wykonanie dowolnego kodu PHP na serwerze poprzez parametr URL w shortcode, gdy formularz ma skonfigurowany niestandardowy handler PHP.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie serwera, kradzież danych, modyfikację treści i dalsze ataki. Atak może być przeprowadzony zdalnie bez uwierzytelnienia, jeśli spełnione są warunki.
Rekomendacja
Natychmiast zaktualizuj Balbooa Forms do wersji 2.4.3.2 lub nowszej. Jeśli nie można zaktualizować, wyłącz niestandardowe handlery PHP i dodaj reCAPTCHA do przycisków submit.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - balbooa.com - Pre-auth PHP Code Injection in Balbooa Forms < 2.4.3.2 - CWE-94 / CWE-95 | CVSS 3.1: 9.8 Critical (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) The form's optional custom-PHP post-submission handler is executed via eval(). The [URL parameter = X] shortcode is substituted with the raw, unescaped value of a query parameter, letting an unauthenticated attacker inject arbitrary PHP that executes server-side. The CSRF token needed to reach the endpoint is itself disclosed anonymously via a separate task, so it provides no real protection. Exploitability requires the form to have a custom-PHP handler configured (a documented builder feature) referencing that shortcode, and no reCAPTCHA on the submit button.