CVE-2026-65880
KrytyczneCVSS 10.0Streszczenie
Rozszerzenie Joomla Balbooa Forms w wersji poniżej 2.4.3 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Niezabezpieczona logika przetwarzania formularzy umożliwia wykonanie kodu dla formularzy zawierających pole typu podpis.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze bez konieczności logowania, co prowadzi do pełnego przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Balbooa Forms do wersji 2.4.3 lub nowszej.
Inne podatności w Balbooa Forms
Zobacz wszystkie- CVE-2026-67364Krytyczne
Krytyczna podatność (CVSS 9.8) w rozszerzeniu Joomla Balbooa Forms w wersjach starszych niż 2.4.3.2. Umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie i wykonanie dowolnego kodu PHP na serwerze poprzez parametr URL w shortcode, gdy formularz ma skonfigurowany niestandardowy handler PHP.
- CVE-2026-56291KrytyczneAktywnie exploitowane
Rozszerzenie Balbooa Forms dla Joomla w wersji poniżej 2.4.1 zawiera lukę umożliwiającą nieuwierzytelnionemu atakującemu przesłanie dowolnego pliku, w tym plików wykonywalnych. Prowadzi to do pełnego zdalnego wykonania kodu (RCE).
- CVE-2026-67363Wysokie
Rozszerzenie Joomla Balbooa Forms w wersjach przed 2.4.3.2 zawiera podatność na manipulację kwotą płatności przed autoryzacją. Endpointy stripeCharges i payAuthorize przyjmują całkowitą kwotę z parametru kontrolowanego przez klienta i przekazują ją do bramki płatności bez ponownego przeliczenia na podstawie skonfigurowanych cen produktów. Endpointy nie wymuszają uwierzytelnienia ani kontroli CSRF. Nieuwierzytelniony atakujący może kupić dowolny produkt za dowolną kwotę (np. 0,01 USD) oraz sfałszować pozycje, ilości i koszty wysyłki.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - balbooa.com - Unauthenticated remote code execution in Balbooa Forms < 2.4.3 - An insecure form processing logic allowed code execution for forms that include the signature field type.