HTProtect.org
Web independent sobre vulnerabilitats de seguretat de Joomla
CA
HTProtect HTProtect JOOMLA SECURITY
Nou htprotect.app - Gestió centralitzada de diversos llocs Joomla
htprotect.org Vulnerabilitats & guies d'actualització
Nou htprotect.app - Gestió centralitzada de diversos llocs Joomla
Vulnerabilitat de seguretat

Balbooa Forms: vulnerabilitat crítica amb execució de codi

Crítica Explotada activamentCVE-2026-67364
Actua ara
Actualitza Balbooa Forms immediatament a la 2.4.3.2 o superior i, si sospites que el lloc està compromès, fes-hi també una neteja.
Baixa la versió segura Ves als passos d'actualització

Versió segura: Balbooa Forms 2.4.3.2 o superior · via Balbooa

D'un cop d'ull

Extensió afectada
Balbooa Forms – extensió de formularis (com_baforms)
Desenvolupador
Balbooa
Tipus de vulnerabilitat
Dues vulnerabilitats sense autenticació: pujada de fitxers des del frontend del formulari i injecció de codi PHP mitjançant un paràmetre de l'adreça que no es comprova; totes dues arriben a l'execució remota de codi (RCE)
Versions afectades
Totes les versions fins a la 2.4.3.1 inclosa
Versió segura
Balbooa Forms 2.4.3.2 o superior   Baixa
Gravetat
Crítica · explotada activament
CVE
CVE-2026-67364
Compatibilitat amb Joomla
Joomla 4 / 5 / 6
Actualitzat / publicat
Publicada/corregida: 9 de juliol de 2026

De què es tracta?

Balbooa Forms (com_baforms) serveix per crear formularis de contacte i d'inscripció a Joomla. Els formularis poden acceptar fitxers adjunts, i justament aquesta via de pujada va quedar desprotegida: la crida del frontend que desa un adjunt es podia activar sense iniciar la sessió i no comprovava ni el testimoni de seguretat (CSRF) ni el tipus de fitxer.

Així, un atacant pot pujar un fitxer PHP executable. El fitxer acaba en una subcarpeta accessible públicament del directori de pujades i després es pot obrir directament des del navegador: el codi introduït s'executa al servidor (execució remota de codi). Arribats a aquest punt, es pot prendre el control de tot el lloc web.

Ara ja se'n coneixen dues. La primera afectava la pujada de fitxers i es va corregir el 9 de juliol de 2026 amb la 2.4.1 (CVE-2026-56291). El 19 d'agost de 2026 se n'hi va sumar una segona: mitjançant un component que agafa sense comprovar un valor de la barra d'adreces, es podia injectar i executar codi PHP propi sense iniciar la sessió (CVE-2026-67364, gravetat 10 sobre 10). Estan afectades totes les versions fins a la 2.4.3.1 inclosa; només la 2.4.3.2 és segura. Convé matisar-ho: la segona vulnerabilitat només actua si un formulari fa servir un gestor PHP propi amb aquest mateix component i no hi ha cap reCAPTCHA al davant, de manera que no afecta totes les instal·lacions. Això no fa menys urgent l'actualització: si no pots assegurar que no t'afecta, dona per fet que sí. La vulnerabilitat té l'identificador CVE-2026-56291 i, segons l'avís, ja s'està explotant activament; no se n'ha publicat cap codi d'exploit.

M'afecta a mi? – Com comprovar-ho

  1. Obre el backend

    Inicia la sessió a l'administrador de Joomla.

  2. Comprova la versió

    A Extensions›Gestiona›Gestiona, filtra per Balbooa Forms i mira'n el número de versió.

  3. Valora la versió

    Si la versió és la 2.4.3.1 o anterior, cal actuar de manera immediata.

  4. Busca senyals d'intrusió

    Revisa la carpeta images/baforms/uploads/ per si hi ha fitxers .php desconeguts, i la llista d'usuaris per si hi ha comptes d'administrador que no reconeguis.

Com solucionar la vulnerabilitat

Abans de cada actualització: fes una còpia de seguretat
Fes una còpia de seguretat dels fitxers i de la base de dades abans d'actualitzar: així podràs tornar enrere si alguna cosa falla (per exemple, amb Akeeba Backup o des del teu proveïdor d'allotjament).
  1. Obre el gestor d'actualitzacions

    Ves a Sistema›Actualitza›Extensions i fes clic a Cerca actualitzacions.

  2. Actualitza Balbooa Forms

    Selecciona l'entrada de Balbooa Forms i actualitza a la 2.4.3.2 o superior.

  3. Verifica la versió

    Comprova després que la nova versió s'ha aplicat correctament.

Instal·lació manual (alternativa)
Si no apareix cap actualització, baixa el paquet des del teu compte de Balbooa i instal·la'l des d'Extensions›Gestiona›Instal·la.
Baixa la versió segura

Descàrrega oficial: via Balbooa. Assegura't de tenir com a mínim Balbooa Forms 2.4.3.2 o superior.

Ja han atacat el teu lloc web?

Si el lloc web està compromès, actualitzar no n'hi ha prou
L'actualització tanca la vulnerabilitat, però no elimina el codi maliciós que ja s'hagi pujat. Revisa images/baforms/uploads/ i les carpetes del voltant per si hi ha fitxers .php desconeguts, comprova la llista d'usuaris per si hi ha superusuaris nous i, si hi trobes res, canvia totes les contrasenyes (administrador de Joomla, FTP/SSH, base de dades). En cas de dubte, encarrega una neteja professional del lloc web.

Necessites ajuda amb la neteja? Trobaràs professionals qualificats al Directori de proveïdors de serveis de Joomla.

Fonts & més informació

Sempre preval la informació oficial de cada desenvolupador. Aquesta pàgina resumeix de manera neutral informació disponible públicament.

Vulnerabilitats similars

Altres extensions amb vulnerabilitats semblants. Comprova si en tens alguna instal·lada al teu lloc web.

Balbooa GridboxCríticaexplotada activament
BalbooaMés informació
Helix3 FrameworkCríticaexplotada activament
JoomShaperMés informació
Astroid FrameworkCríticaexplotada activament
TemPlazaMés informació
Torna a totes les vulnerabilitats
Col·laboradors

Col·laboradors d'aquest lloc web

htprotect.org és un servei d'informació gratuït i independent de qualsevol desenvolupador. Compta amb el suport de:

Allotjament & comunitat
FC-Hosting

Proveïdor d'allotjament Joomla d'Alemanya amb suport actiu a la comunitat – va detectar el primer atac contra la vulnerabilitat de JCE.

fc-hosting.de
Impulsor & responsable
Website-Bereinigung.de

Especialitzada en la neteja, el manteniment i la protecció de llocs web Joomla i WordPress.

website-bereinigung.de

Dona suport a aquest projecte

Ofereixes serveis d'allotjament o de Joomla i vols donar suport a htprotect.org – i aparèixer aquí com a col·laborador? Cada aportació ajuda a avisar i a protegir més de pressa els afectats.

Prefereixes col·laborar en privat, sense aparèixer a la llista? Una petita aportació a la guardiola del cafè ens fa la mateixa il·lusió.

Dona suport a HTProtect ara
Bauschild & Service

Fabricació i muntatge de cartells d'obra, tanques d'obra i solucions de façana – amb disseny i visualització en 3D inclosos.

bauschildundservice.de
IT Specialista

Suport informàtic professional des de Txèquia – gestió de Windows, administració de dominis i allotjament web.

defendersoft.cz
onlineweg.de

Portal de viatges d'Alemanya – viatges combinats, hotels i vols en línia, amb assessorament personal d'agència de viatges.

onlineweg.de
Criadero

Agència creativa de Brandenburg – disseny web, mitjans impresos, fotografia i panoràmiques de 360° d'un sol proveïdor.

criadero.de
Jahn EDV-Dienst GmbH

Proveïdor de serveis informàtics de Wächtersbach – llocs web Joomla, servei tècnic de PC, maquinari i programari.

jahnedv.de
IsariConsult

Consultoria de seguretat de la informació de Berlín – anàlisis de seguretat, gestió de riscos i ISO 27001 per a pimes.

isari-consult.de