Podatności Balbooa Forms
4 znanych podatności CVE w Balbooa Forms, przetłumaczonych i ocenionych.
- CVE-2026-67364Krytyczne
Krytyczna podatność (CVSS 9.8) w rozszerzeniu Joomla Balbooa Forms w wersjach starszych niż 2.4.3.2. Umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie i wykonanie dowolnego kodu PHP na serwerze poprzez parametr URL w shortcode, gdy formularz ma skonfigurowany niestandardowy handler PHP.
- CVE-2026-65880Krytyczne
Rozszerzenie Joomla Balbooa Forms w wersji poniżej 2.4.3 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Niezabezpieczona logika przetwarzania formularzy umożliwia wykonanie kodu dla formularzy zawierających pole typu podpis.
- CVE-2026-56291KrytyczneAktywnie exploitowane
Rozszerzenie Balbooa Forms dla Joomla w wersji poniżej 2.4.1 zawiera lukę umożliwiającą nieuwierzytelnionemu atakującemu przesłanie dowolnego pliku, w tym plików wykonywalnych. Prowadzi to do pełnego zdalnego wykonania kodu (RCE).
- CVE-2026-67363Wysokie
Rozszerzenie Joomla Balbooa Forms w wersjach przed 2.4.3.2 zawiera podatność na manipulację kwotą płatności przed autoryzacją. Endpointy stripeCharges i payAuthorize przyjmują całkowitą kwotę z parametru kontrolowanego przez klienta i przekazują ją do bramki płatności bez ponownego przeliczenia na podstawie skonfigurowanych cen produktów. Endpointy nie wymuszają uwierzytelnienia ani kontroli CSRF. Nieuwierzytelniony atakujący może kupić dowolny produkt za dowolną kwotę (np. 0,01 USD) oraz sfałszować pozycje, ilości i koszty wysyłki.