CVE-2026-67364

总结

Joomla 扩展 - balbooa.com - Balbooa Forms < 2.4.3.2 中的预认证 PHP 代码注入 - 表单可选的提交后自定义 PHP 处理程序通过 eval() 执行。[URL parameter = X] 短代码会被替换为查询参数的原始、未转义值，使未认证攻击者能够注入在服务器端执行的任意 PHP。访问该端点所需的 CSRF 令牌本身通过一个单独任务匿名泄露，因此它并未提供真正的保护。要利用此漏洞，表单必须配置了引用该短代码的自定义 PHP 处理程序（这是构建器的一项已记录功能），并且提交按钮上未启用 reCAPTCHA。

来源

• cve-2026-67363-67364漏洞利用

  PoC 及检测模板，用于 Balbooa Forms（Joomla）中的预认证 RCE 和支付篡改漏洞，包含 Python 漏洞利用脚本和 Nuclei 检测模板。