CVE-2026-102425
Təsvir
Joomla Extension - balbooa.com - Balbooa Forms < 2.4.3.4 versiyasında sahə şortkod inyeksiyası vasitəsilə autentifikasiyasız uzaqdan kodun icrası (RCE). Balbooa Forms, ictimai forma göndərildikdən sonra işləyən və administrator tərəfindən təyin edilmiş PHP kodunu dəstəkləyir. Bu funksiya həmçinin həmin PHP daxilində forma-sahə şortkodlarını da dəstəkləyir. Komponent `eval()` funksiyasını çağırmazdan əvvəl hər bir şortkodu ziyarətçi tərəfindən göndərilmiş xammal dəyərlə əvəz edir ki, bu da RCE vektoruna səbəb olur. Zəifliyə məruz qalmaq üçün ictimai forma məhsulun opsional "PHP-after-submission" hərəkətindən istifadə etməli və cüt dırnaq arası PHP sətiri daxilində hücumçu tərəfindən idarə olunan sahə şortkodunu interpolasiya etməlidir.
Necə düzəltmək olar
- balbooa forms2.4.3.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| balbooa forms | v < 2.4.3.4 | 2.4.3.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.