Carga de archivos no autenticados en Balbooa Forms para Joomla
com_baforms versión 2.4.0 y anteriores.
mySites.guru ha publicado una vulnerabilidad de severidad crítica en Balbooa Forms que, en caso de ser explotada, podría permitir ejecución remota de código.
CISA ha indicado que esta vulnerabilidad podría estar siendo explotada de forma activa.
Balbooa ha solucionado el problema en la versión 2.4.1, publicada el 9 de julio de 2026.
CVE-2026-56291: la función de carga de archivos en el frontend de Balbooa Forms aceptaba archivos de cualquier usuario sin autenticación, sin token CSRF y sin lista de permitidos en la extensión del archivo. Debido a que confiaba en el nombre del archivo del remitente, la carga .php termina en un directorio público y podía ejecutarse, lo que constituye una ejecución remota de código sin autenticación.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-56291 | Crítica | Si | Balbooa Forms |
