Vulnerabilidad de seguridad

Balbooa Forms: vulnerabilidad crítica de subida y RCE

Crítica Explotada activamenteCVE-2026-56291

Actúa ahora

Actualiza Balbooa Forms de inmediato a la 2.4.1 o posterior; si sospechas que la web está comprometida, además tendrás que limpiarla.

Descargar la versión segura Ir a los pasos de actualización

Versión segura: Balbooa Forms 2.4.1 o posterior · via Balbooa

De un vistazo

Extensión afectada

Balbooa Forms – extensión de formularios (com_baforms)

Desarrollador

Balbooa

Tipo de vulnerabilidad

Subida de archivos sin autenticación desde el formulario público → ejecución remota de código (RCE); sin inicio de sesión ni comprobación de token o de tipo de archivo

Versiones afectadas

Todas las versiones hasta la 2.4.0 incluida

Versión segura

Balbooa Forms 2.4.1 o posterior Descargar

Gravedad

Crítica · explotada activamente

CVE

CVE-2026-56291

Compatibilidad con Joomla

Joomla 4 / 5 / 6

Actualizado / publicado

Publicado/parcheado: 9 de julio de 2026

¿De qué se trata?

Balbooa Forms (com_baforms) sirve para crear formularios de contacto y de registro en Joomla. Los formularios pueden aceptar archivos adjuntos, y justo esa vía de subida quedó desprotegida: la llamada de la parte pública que guarda un adjunto podía activarse sin iniciar sesión y no comprobaba ni el token de seguridad (CSRF) ni el tipo de archivo.

Con ello, un atacante puede subir un archivo PHP ejecutable. El archivo acaba en una subcarpeta del directorio de subidas accesible desde internet y luego se puede abrir directamente en el navegador: el código introducido se ejecuta en el servidor (ejecución remota de código). A partir de ahí, el atacante puede tomar el control completo del sitio.

Están afectadas todas las versiones hasta la 2.4.0 incluida. La corrección está disponible desde el 9 de julio de 2026 en la versión 2.4.1, que incorpora las comprobaciones que faltaban. El fallo está registrado como CVE-2026-56291 y, según el aviso, ya se está explotando de forma activa; no se ha publicado código de exploit.

¿Me afecta? – Cómo comprobarlo

Abre el backend
Inicia sesión en el administrador de Joomla.
Comprueba la versión
En Extensiones›Gestionar›Gestionar, filtra por Balbooa Forms y consulta el número de versión.
Evalúa la versión
Si la versión es la 2.4.0 o anterior, hay que actuar de inmediato.
Busca rastros del ataque
Revisa la carpeta images/baforms/uploads/ en busca de archivos .php ajenos y la lista de usuarios en busca de cuentas de administrador desconocidas.

Cómo solucionar la vulnerabilidad

Antes de cada actualización: copia de seguridad

Haz una copia de seguridad de los archivos y de la base de datos antes de actualizar: así podrás volver atrás si algo sale mal (por ejemplo, con Akeeba Backup o desde tu proveedor de hosting).

Abre el centro de actualizaciones
Ve a Sistema›Actualizar›Extensiones y pulsa Buscar actualizaciones.
Actualiza Balbooa Forms
Selecciona la entrada y actualiza a la 2.4.1 o posterior.
Verifica la versión
Después, comprueba que la nueva versión se ha aplicado correctamente.

Instalación manual (alternativa)

Si no aparece ninguna actualización, descarga el paquete desde tu cuenta de Balbooa e instálalo desde Extensiones›Gestionar›Instalar.

Descargar la versión segura

Descarga oficial: via Balbooa. Asegúrate de tener al menos Balbooa Forms 2.4.1 o posterior.

¿Han atacado ya tu web?

Si la web está comprometida, actualizar no basta

La actualización cierra la brecha, pero no elimina el código malicioso que ya se haya subido. Revisa images/baforms/uploads/ y las carpetas cercanas en busca de archivos .php ajenos, comprueba en la lista de usuarios si hay nuevos Super Usuarios y, si encuentras algo, cambia todas las contraseñas (administrador de Joomla, FTP/SSH, base de datos). Ante la duda, encarga una limpieza profesional del sitio.

¿Necesitas ayuda con la limpieza? Encontrarás profesionales cualificados en el Directorio de Proveedores de Servicios de Joomla.

Fuentes & más información

Aviso original – mySites.guruAviso de seguridad con los detalles técnicos
Balbooa (fabricante)Obtén la actualización desde el actualizador de Joomla o tu cuenta de Balbooa
CVE-2026-56291 (CVE.org)Registro oficial del CVE
Joomla Vulnerable Extensions List (VEL)Lista de extensiones vulnerables mantenida por la comunidad

Siempre prevalece la información oficial del desarrollador correspondiente. Esta página resume de forma neutral información disponible públicamente.

Volver a todas las vulnerabilidades

Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community

FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de

Initiator & operator

Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now

Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de

ITSPECIALISTA

IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz

onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de

Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de

JahnEDV-Dienst GmbH

Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de

IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de