Balbooa Forms: vulnerabilidad crítica de subida y RCE
Versión segura: Balbooa Forms 2.4.3.2 o posterior · via Balbooa
De un vistazo
com_baforms)¿De qué se trata?
Balbooa Forms (com_baforms) sirve para crear formularios de contacto y de registro en Joomla. Los formularios pueden aceptar archivos adjuntos, y justo esa vía de subida quedó desprotegida: la llamada de la parte pública que guarda un adjunto podía activarse sin iniciar sesión y no comprobaba ni el token de seguridad (CSRF) ni el tipo de archivo.
Con ello, un atacante puede subir un archivo PHP ejecutable. El archivo acaba en una subcarpeta del directorio de subidas accesible desde internet y luego se puede abrir directamente en el navegador: el código introducido se ejecuta en el servidor (ejecución remota de código). A partir de ahí, el atacante puede tomar el control completo del sitio.
Ya se conocen dos vulnerabilidades. La primera afectaba a la subida de archivos y quedó corregida el 9 de julio de 2026 con la versión 2.4.1 (CVE-2026-56291). El 19 de agosto de 2026 se sumó una segunda: mediante un bloque de código que toma un valor de la barra de direcciones sin comprobarlo, era posible inyectar y ejecutar código PHP propio sin iniciar sesión (CVE-2026-67364, gravedad 10 sobre 10). Están afectadas todas las versiones hasta la 2.4.3.1 incluida; solo es segura la 2.4.3.2. Conviene matizarlo: la segunda vulnerabilidad solo se aprovecha si un formulario usa un handler PHP propio con exactamente ese bloque y no tiene un reCAPTCHA delante, así que no afecta a todas las instalaciones. Eso no resta urgencia a la actualización, porque quien no pueda descartarlo con seguridad debe darse por afectado. El fallo está registrado como CVE-2026-56291 y, según el aviso, ya se está explotando de forma activa; no se ha publicado código de exploit.
¿Me afecta? – Cómo comprobarlo
- Abre el backend
Inicia sesión en el administrador de Joomla.
- Comprueba la versión
En Extensiones›Gestionar›Gestionar, filtra por
Balbooa Formsy consulta el número de versión. - Evalúa la versión
Si la versión es la 2.4.3.1 o anterior, hay que actuar de inmediato.
- Busca rastros del ataque
Revisa la carpeta images/baforms/uploads/ en busca de archivos
.phpajenos y la lista de usuarios en busca de cuentas de administrador desconocidas.
Cómo solucionar la vulnerabilidad
- Abre el centro de actualizaciones
Ve a Sistema›Actualizar›Extensiones y pulsa Buscar actualizaciones.
- Actualiza Balbooa Forms
Selecciona la entrada y actualiza a la 2.4.3.2 o posterior.
- Verifica la versión
Después, comprueba que la nueva versión se ha aplicado correctamente.
Descarga oficial: via Balbooa. Asegúrate de tener al menos Balbooa Forms 2.4.3.2 o posterior.
¿Han atacado ya tu web?
.php ajenos, comprueba en la lista de usuarios si hay nuevos Super Usuarios y, si encuentras algo, cambia todas las contraseñas (administrador de Joomla, FTP/SSH, base de datos). Ante la duda, encarga una limpieza profesional del sitio.¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.
Fuentes & más información
- Aviso original – mySites.guruAviso de seguridad con los detalles técnicos
- Balbooa (fabricante)Obtén la actualización desde el actualizador de Joomla o tu cuenta de Balbooa
- CVE-2026-56291 (CVE.org)Registro oficial del CVE
- Joomla Vulnerable Extensions List (VEL)Lista de extensiones vulnerables mantenida por la comunidad
Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.
Vulnerabilidades relacionadas
Otras extensiones con vulnerabilidades similares. Comprueba si alguna de ellas está instalada en tu web.
Colaboradores de esta web
htprotect.org es un servicio de información gratuito e independiente de cualquier desarrollador. Cuenta con el apoyo de:
Proveedor de hosting para Joomla en Alemania, con soporte activo a la comunidad – detectó el primer ataque contra la vulnerabilidad de JCE.
fc-hosting.de
Especializada en la limpieza, el mantenimiento y la protección de webs Joomla y WordPress.
website-bereinigung.deApoya este proyecto
¿Tienes un servicio de hosting o de Joomla y quieres apoyar htprotect.org – y aparecer aquí como colaborador? Cada aportación ayuda a avisar y a proteger antes a los afectados.
¿Prefieres colaborar en privado, sin aparecer mencionado? Una pequeña aportación al bote del café nos alegra igual.
Fabricación y montaje de carteles de obra, vallas de obra y soluciones de fachada – incluidos el diseño y la visualización en 3D.
bauschildundservice.deSoporte informático profesional desde Chequia – gestión de Windows, administración de dominios y alojamiento web.
defendersoft.cz
Portal de viajes de Alemania – viajes combinados, hoteles y vuelos en línea, con asesoramiento personal de agencia de viajes.
onlineweg.de
Agencia creativa de Brandeburgo – diseño web, medios impresos, fotografía y panorámicas de 360° de un solo proveedor.
criadero.deProveedor de servicios informáticos de Wächtersbach – webs Joomla, servicio técnico de PC, hardware y software.
jahnedv.de
Consultoría de seguridad de la información de Berlín – análisis de seguridad, gestión de riesgos e ISO 27001 para pymes.
isari-consult.de