🖥️ BAForms-RCE — CVE-2026-102425 GUI

Scanner/exploit GUI dark-neon per CVE-2026-102425 — Balbooa Forms (com_baforms) 1.0.0–2.4.3.3: RCE non autenticato tramite field shortcode injection nell'azione PHP-after-submission (eval()).

Implementazione GUI autonoma (standalone) — riscritta da zero sulla base del meccanismo pubblicato nell'advisory ufficiale. Non è un wrapper CLI di terze parti.

CVE	CVE-2026-102425 (PUBLISHED 2026-09-29, CNA: Joomla! Project)
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-102425
Componente	com_baforms (Balbooa Forms)
Affected	1.0.0 – 2.4.3.3 (fix ≥ 2.4.3.4)
CWE	CWE-94 (Code Injection)
CVSS 4.0	9.5 Critical — CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

---

⚡ Funzionalità

• Single URL & Mass list (file .txt, un URL per riga)
• Check — rileva com_baforms, versione dal manifest, form pubblici (loadAjaxForm / embed), candidati exploitable
• Exploit — field shortcode breakout (" ;echo MARKER;//), verifica del marker, opzione drop uploader (up.php) + verifica web-visible (shell_url)
• LAB TEST — mock server locale che simula l'eval() dello shortcode, 100% sicuro per testare il payload
• Browse… — selettore file list tramite dialog
• Export CSV — tutti i risultati (check/exploit/lab) in un unico file CSV
• hits.txt / exploited.txt — output mass automatico
• Multithread + timeout + progress bar + log colorato
• Tema dark neon 🟢

📦 Installazione

git clone https://github.com/tonydelouvre/CVE-2026-102425
cd CVE-2026-102425
pip install -r requirements.txt
python main.py

Python 3.9+. Windows/Linux/macOS.

🚀 Come si usa

1. Esegui python main.py
2. Inserisci l'URL target (single) oppure clicca Browse… per il file list (mass)
3. Scegli l'azione: Check (sicuro, solo rilevamento) oppure Exploit
4. Non sei sicuro che il payload funzioni? Clicca ⚡ LAB TEST — test locale senza toccare host reali
5. Al termine della scansione, clicca 💾 Export CSV oppure recupera hits.txt / exploited.txt

⚠️ Authorized security testing only. Usalo solo su sistemi che possiedi o per cui hai autorizzazione scritta ai test. L'abuso è una tua responsabilità legale.

🧪 Meccanismo (in breve)

Balbooa Forms consente all'admin di definire PHP eseguito dopo l'invio del form. Quel PHP può contenere field shortcode sostituiti con il valore grezzo inviato dal visitatore prima dell'eval() — senza escaping. Exploitable quando:

1. Versione < 2.4.3.4
2. Esiste un form pubblico che usa l'azione PHP-after-submission
3. Lo shortcode del field si trova dentro una stringa PHP double-quoted → breakout classico ";echo …;//

CVSS AT:P significa che la configurazione vulnerabile (punti 2–3) deve essere presente — installare solo il componente non basta.

🩹 Remediation

1. Aggiorna Balbooa Forms a 2.4.3.4+
2. Rimuovi le azioni PHP-after-submission che usano field/URL shortcode finché la patch non è installata
3. Attiva reCAPTCHA sui form pubblici
4. Esegui un audit di images/baforms/uploads/, dei form e degli account admin

📚 Riferimenti

• PoCbit — CVE-2026-102425
• mysites.guru — Balbooa Forms advisories

📄 License

MIT — vedi LICENSE.