Balbooa Forms – kritisk sikkerhedssårbarhed i filupload
Sikker version: Balbooa Forms 2.4.3.2 eller nyere · via Balbooa
Kort fortalt
com_baforms)Hvad handler det om?
Balbooa Forms (com_baforms) bygger kontakt- og tilmeldingsformularer til Joomla. Formularerne kan tage imod vedhæftede filer – og netop den uploadvej stod åben: Frontend-kaldet, der gemmer en vedhæftet fil, kunne udløses uden login og kontrollerede hverken sikkerhedstoken (CSRF) eller filtype.
Derfor kan en angriber uploade en eksekverbar PHP-fil. Den havner i en offentligt tilgængelig undermappe til uploadmappen og kan derefter kaldes direkte i browseren – den indsmuglede kode kører så på serveren (remote code execution). Dermed kan hele hjemmesiden overtages.
Der kendes nu to sårbarheder. Den første ramte filuploaden og blev lukket med 2.4.1 den 9. juli 2026 (CVE-2026-56291). Den 19. august 2026 kom der endnu en til: Via en byggesten, der overtager en værdi fra adresselinjen uden at kontrollere den, kunne en angriber uden login indsmugle og køre sin egen PHP-kode (CVE-2026-67364, alvorlighedsgrad 10 ud af 10). Alle versioner til og med 2.4.3.1 er berørt; først 2.4.3.2 er sikker. Vigtigt for forståelsen: Den anden sårbarhed virker kun, hvis en formular bruger sin egen PHP-handler med præcis denne byggesten, og der ikke sidder et reCAPTCHA foran – den rammer altså ikke enhver installation. Det gør ikke opdateringen mindre presserende, for kan du ikke med sikkerhed afgøre det, må du gå ud fra, at du er berørt. Sårbarheden er registreret som CVE-2026-56291 og bliver ifølge sikkerhedsmeddelelsen allerede udnyttet aktivt; der er ikke offentliggjort nogen exploit-kode.
Er jeg berørt? – Sådan tjekker du det
- Åbn administrationen
Log ind i Joomlas administration.
- Aflæs versionen
Åbn Udvidelser›Håndter›Håndter, filtrer efter
Balbooa Forms, og aflæs versionen. - Vurder versionen
Er versionen 2.4.3.1 eller ældre, skal du handle med det samme.
- Se efter spor
Gennemgå mappen images/baforms/uploads/ for fremmede
.php-filer, og tjek brugerlisten for ukendte administratorkonti.
Sådan lukker du sårbarheden
- Åbn opdateringscenteret
Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.
- Opdater Balbooa Forms
Markér posten Balbooa Forms, og opdater til 2.4.3.2 eller nyere.
- Kontrollér versionen
Kontrollér derefter, at den nye version er blevet aktiv.
Officiel kilde: via Balbooa. Sørg for at have mindst Balbooa Forms 2.4.3.2 eller nyere.
Er hjemmesiden allerede blevet hacket?
.php-filer, tjek brugerlisten for nye superbrugere, og skift alle adgangskoder, hvis du finder noget (Joomla-administrator, FTP/SSH, database). Er du i tvivl, så få hjemmesiden renset professionelt.Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.
Kilder & mere information
- Oprindelig sikkerhedsmeddelelse – mySites.guruSikkerhedsmeddelelse med tekniske detaljer
- Balbooa (producenten)Hent opdateringen via Joomlas opdateringsfunktion eller din Balbooa-konto
- CVE-2026-56291 (CVE.org)Officiel CVE-registrering
- Joomla Vulnerable Extensions List (VEL)Community-drevet liste over sårbare udvidelser
Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.
Lignende sårbarheder
Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.
Støtter af denne side
htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:
Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.
fc-hosting.de
Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.
website-bereinigung.deStøt dette projekt
Driver du en hosting- eller Joomla-tjeneste og vil gerne bakke op om htprotect.org – og stå opført her som støtte? Ethvert bidrag er med til at advare og beskytte de berørte hurtigere.
Vil du hellere give privat og uden at blive nævnt? Et lille bidrag til kaffekassen er lige så velkomment.
Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.
bauschildundservice.deProfessionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.
defendersoft.cz
Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.
onlineweg.de
Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.
criadero.deIt-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.
jahnedv.de
Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.
isari-consult.de