Balbooa Forms – kritische Upload-Lücke mit Code-Ausführung
Sichere Version: Balbooa Forms 2.4.3.2 oder neuer · über Balbooa
Auf einen Blick
com_baforms)Worum geht es?
Balbooa Forms (com_baforms) baut Kontakt- und Anmeldeformulare für Joomla. Formulare können Datei-Anhänge annehmen – und genau dieser Upload-Weg war ungeschützt: Der Frontend-Aufruf zum Speichern eines Anhangs ließ sich ohne Anmeldung auslösen und prüfte weder ein Sicherheits-Token (CSRF) noch den Dateityp.
Dadurch kann ein Angreifer eine ausführbare PHP-Datei hochladen. Sie landet in einem öffentlich erreichbaren Unterordner des Upload-Verzeichnisses und lässt sich anschließend direkt im Browser aufrufen – der eingeschleuste Code läuft dann auf dem Server (Remote Code Execution). Damit ist die Seite vollständig übernehmbar.
Inzwischen sind zwei Lücken bekannt. Die erste betraf den Datei-Upload und war mit 2.4.1 vom 9. Juli 2026 behoben (CVE-2026-56291). Am 19. August 2026 kam eine zweite hinzu: Über einen Baustein, der einen Wert aus der Adresszeile ungeprüft übernimmt, ließ sich ohne Anmeldung eigener PHP-Code einschleusen und ausführen (CVE-2026-67364, Schweregrad 10 von 10). Betroffen sind alle Versionen bis einschließlich 2.4.3.1; sicher ist erst 2.4.3.2. Wichtig zur Einordnung: Die zweite Lücke greift nur, wenn ein Formular einen eigenen PHP-Handler mit genau diesem Baustein nutzt und kein reCAPTCHA davor sitzt - sie trifft also nicht jede Installation. Das ändert nichts an der Dringlichkeit des Updates, denn wer das nicht sicher beurteilen kann, ist im Zweifel betroffen. Die Lücke trägt die Kennung CVE-2026-56291 und wird laut Meldung bereits in freier Wildbahn ausgenutzt; ein öffentlicher Exploit-Code wurde nicht veröffentlicht.
Bin ich betroffen? – So prüfen Sie es
- Backend öffnen
Melden Sie sich im Joomla-Administrator an.
- Version prüfen
Unter Erweiterungen›Verwalten›Verwalten nach
Balbooa Formsfiltern und die Version ablesen. - Version bewerten
Ist die Version 2.4.3.1 oder älter, besteht akuter Handlungsbedarf.
- Auf Spuren achten
Prüfen Sie den Ordner images/baforms/uploads/ auf fremde
.php-Dateien und die Benutzerliste auf unbekannte Administrator-Konten.
So schließen Sie die Lücke
- Update-Center öffnen
Gehen Sie zu System›Aktualisieren›Erweiterungen und klicken Sie auf Auf Updates prüfen.
- Balbooa Forms aktualisieren
Wählen Sie den Eintrag und aktualisieren Sie auf 2.4.3.2 oder neuer.
- Version prüfen
Kontrollieren Sie anschließend, dass die neue Version übernommen wurde.
Offizielle Bezugsquelle: über Balbooa. Achten Sie auf mindestens Balbooa Forms 2.4.3.2 oder neuer.
Wurde die Seite schon angegriffen?
.php-Dateien, kontrollieren Sie die Benutzerliste auf neue Super-User und ändern Sie im Fund alle Passwörter (Joomla-Admin, FTP/SSH, Datenbank). Im Zweifel die Seite fachgerecht bereinigen lassen.Du brauchst Hilfe bei der Bereinigung? Passende Fachleute findest du im Joomla-Dienstleisterverzeichnis.
Quellen & weiterführende Links
- Ursprüngliche Meldung – mySites.guruAdvisory mit technischen Details
- Balbooa (Hersteller)Bezug des Updates über Joomla-Updater bzw. Balbooa-Konto
- CVE-2026-56291 (CVE.org)Offizieller CVE-Eintrag
- Joomla Vulnerable Extensions List (VEL)Community-geführte Liste verwundbarer Erweiterungen
Maßgeblich sind stets die offiziellen Angaben des jeweiligen Herstellers. Diese Seite fasst öffentlich verfügbare Informationen neutral zusammen.
Ähnliche Lücken
Weitere Erweiterungen mit vergleichbaren Schwachstellen. Prüfen Sie, ob eine davon auf Ihrer Website installiert ist.
Unterstützer dieser Seite
htprotect.org ist ein kostenloses, herstellerunabhängiges Informationsangebot. Unterstützt wird es von:
Joomla-Hoster aus Deutschland mit aktivem Community-Support – entdeckte den ersten Angriff auf die JCE-Sicherheitslücke.
fc-hosting.de
Spezialisiert auf Bereinigung, Wartung und Absicherung von Joomla- und WordPress-Websites.
website-bereinigung.deDieses Projekt unterstützen
Du betreibst einen Hosting- oder Joomla-Dienst und möchtest htprotect.org fördern – und hier als Unterstützer sichtbar werden? Jede Unterstützung hilft, Betroffene schneller zu warnen und schneller zu schützen.
Lieber privat und ohne Nennung? Über einen kleinen Beitrag in die Kaffeekasse freuen wir uns genauso.
Herstellung und Montage von Bauschildern, Bauzäunen und Fassadenlösungen – inkl. Design und 3D-Visualisierung.
bauschildundservice.deProfessioneller IT-Support aus Tschechien – Windows-Management, Domänen-Administration und Webhosting.
defendersoft.cz
Reiseportal aus Deutschland – Pauschalreisen, Hotels und Flüge online, mit persönlicher Reisebüro-Beratung.
onlineweg.de
Kreativagentur aus Brandenburg – Webdesign, Printmedien, Fotografie und 360°-Panoramen aus einer Hand.
criadero.deIT-Dienstleister aus Wächtersbach – Joomla-Webseiten, PC-Service, Hard- und Software.
jahnedv.de
Informationssicherheits-Beratung aus Berlin – Sicherheitsanalysen, Risikomanagement und ISO 27001 für KMU.
isari-consult.de