CVE-2026-102425

Joomla Extension - balbooa.com - Balbooa Forms < 2.4.3.4 sürümünde alan kısa kod enjeksiyonu aracılığıyla kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma (RCE). Balbooa Forms, genel bir form gönderiminden sonra çalışan ve yönetici tarafından tanımlanan PHP kodlarını desteklemektedir. Bu özellik aynı zamanda söz konusu PHP içerisinde form alanı kısa kodlarını da destekler. Bileşen, `eval()` fonksiyonunu çağırmadan önce her kısa kodu ziyaretçi tarafından gönderilen ham değerle değiştirmekte ve bu durum bir RCE vektörüne yol açmaktadır. Bir sistemin savunmasız olması için; genel bir formun ürünün isteğe bağlı olan "gönderim sonrası PHP" eylemini kullanması ve çift tırnaklı bir PHP dizgesi içinde saldırgan tarafından kontrol edilen bir alan kısa kodunu yerleştirmesi gerekir.