Уязвимость хранимого XSS в Balbooa Forms для Joomla (CVE-2026-101127)
В расширении Balbooa Forms для Joomla обнаружена уязвимость хранимого XSS с оценкой CVSS 8.6 (High). Неаутентифицированный злоумышленник может внедрить вредоносный код через имя загружаемого файла, который срабатывает при просмотре заявки администратором. Затронуты версии ниже 2.4.3.4.
Подробности
Уязвимости подвержены версии расширения balbooa.com Balbooa Forms ниже 2.4.3.4. Ошибка затрагивает публичный эндпоинт загрузки файлов. Публичный эндпоинт загрузки проверяет расширение загружаемого файла и определённый MIME-тип, однако сохраняет предоставленное атакующим исходное имя файла из multipart-запроса дословно в поле `#__baforms_submissions_attachments.name`. При последующей анонимной отправке формы этот временный вложенный файл связывается с только что созданной заявкой. Когда администратор открывает заявку, JavaScript компонента извлекает сохранённую запись вложения и напрямую конкатенирует `file.name` в HTML-строку. Готовая строка присваивается свойству `innerHTML`, что приводит к исполнению внедрённого скрипта в браузере администратора. Ключевая опасность заключается в том, что для эксплуатации не требуется аутентификация: злоумышленнику достаточно отправить форму с файлом, имя которого содержит вредоносную полезную нагрузку. Срабатывание происходит в привилегированном контексте — в панели администратора Joomla, что потенциально позволяет похищать сессионные данные, выполнять действия от имени администратора или внедрять дополнительный вредоносный код.Что делать
Основная рекомендация — обновить расширение Balbooa Forms до версии 2.4.3.4 или более новой, где уязвимость устранена. Перед обновлением настоятельно рекомендуется сделать резервную копию сайта и базы данных. Если немедленное обновление невозможно, следует рассмотреть временные митигации: - ограничить или временно отключить публичную загрузку файлов в формах, если это допустимо для бизнес-логики сайта; - ограничить доступ к административной панели по IP-адресам или через дополнительные средства защиты; - усилить мониторинг журналов на предмет подозрительных имён загружаемых файлов и аномальной активности в компоненте форм; - проверить уже сохранённые заявки и вложения на наличие подозрительных имён файлов. Также стоит убедиться, что применяются общие практики безопасности Joomla: актуальность ядра CMS, минимальные привилегии пользователей и регулярные проверки установленных расширений. Итог: CVE-2026-101127 — серьёзная уязвимость хранимого XSS, эксплуатируемая без аутентификации и срабатывающая в интерфейсе администратора. Учитывая высокий CVSS-балл, обновление до версии 2.4.3.4 следует провести в приоритетном порядке.Источник: CVE Project (cvelistV5)