HTProtect.org
Független információs oldal a Joomla biztonsági réseiről
HU
HTProtect HTProtect JOOMLA SECURITY
Új htprotect.app - Központi Joomla oldalkezelés több weboldalhoz
htprotect.org Biztonsági rések & frissítési útmutatók
Új htprotect.app - Központi Joomla oldalkezelés több weboldalhoz
Biztonsági rés

Balbooa Forms: kritikus biztonsági rés – távoli kódfuttatás

Kritikus Aktívan kihasználjákCVE-2026-56291
Azonnali teendő
Frissítse azonnal a Balbooa Forms bővítményt a 2.4.1-es vagy újabb verzióra – fertőzésgyanú esetén pedig tisztítsa is meg a weboldalt.
Biztonságos verzió letöltése Ugrás a frissítés lépéseihez

Biztonságos verzió: Balbooa Forms 2.4.1 vagy újabb · via Balbooa

A lényeg röviden

Érintett bővítmény
Balbooa Forms – űrlapbővítmény (com_baforms)
Fejlesztő
Balbooa
A biztonsági rés típusa
Bejelentkezés nélküli fájlfeltöltés a nyilvános űrlapon keresztül → távoli kódfuttatás (RCE); sem bejelentkezés, sem token- vagy fájltípus-ellenőrzés nincs
Érintett verziók
Minden verzió 2.4.0-ig bezárólag
Biztonságos verzió
Balbooa Forms 2.4.1 vagy újabb   Letöltés
Súlyosság
Kritikus · aktívan kihasználják
CVE
CVE-2026-56291
Joomla-kompatibilitás
Joomla 4 / 5 / 6
Állapot / közzététel
Közzététel/javítás: 2026. július 9.

Miről van szó?

A Balbooa Forms (com_baforms) kapcsolatfelvételi és regisztrációs űrlapokat készít Joomlához. Az űrlapok fájlmellékleteket is fogadhatnak – és éppen ez a feltöltési útvonal maradt védtelen: a mellékletet mentő, nyilvános oldalról érkező kérés bejelentkezés nélkül is végrehajtható volt, és sem a biztonsági tokent (CSRF), sem a fájltípust nem ellenőrizte.

Így a támadó futtatható PHP-fájlt tölthet fel. A fájl a feltöltési könyvtár egyik nyilvánosan elérhető almappájába kerül, és utána közvetlenül megnyitható a böngészőből – a becsempészett kód pedig lefut a kiszolgálón (távoli kódfuttatás). Ezen a ponton a teljes weboldal átvehető.

Érintett minden 2.4.0-ig bezárólag megjelent verzió. A javítás 2026. július 9-e óta érhető el 2.4.1 néven, és pótolja a hiányzó ellenőrzéseket. A hibát a CVE-2026-56291 azonosító alatt tartják nyilván, és a bejelentés szerint éles támadásokban már kihasználják; nyilvános exploit-kód nem jelent meg.

Érintett az oldalam? – Így ellenőrizhető

  1. Az adminisztrációs felület megnyitása

    Jelentkezzen be a Joomla adminisztrációs felületére.

  2. A verzió ellenőrzése

    A Bővítmények›Kezelés›Kezelés menüpontban szűrjön a Balbooa Forms névre, és olvassa le a verziószámot.

  3. A verzió kiértékelése

    Ha a verzió 2.4.0-s vagy régebbi, azonnali beavatkozásra van szükség.

  4. Nyomok keresése

    Nézze át az images/baforms/uploads/ könyvtárat, nincsenek-e benne idegen .php-fájlok, és ellenőrizze a felhasználók listáját, nem szerepel-e rajta ismeretlen adminisztrátori fiók.

Így szüntethető meg a biztonsági rés

Frissítés előtt: biztonsági mentés
Frissítés előtt mentse el a fájlokat és az adatbázist – így hiba esetén bármikor visszaállítható a korábbi állapot (pl. az Akeeba Backup segítségével vagy a tárhelyszolgáltatónál).
  1. A frissítéskezelő megnyitása

    Lépjen a Rendszer›Frissítés›Bővítmények menüpontra, és kattintson a Frissítések keresése gombra.

  2. A Balbooa Forms frissítése

    Jelölje ki a bejegyzést, és frissítse a 2.4.1-es vagy újabb verzióra.

  3. A verzió ellenőrzése

    Ezután győződjön meg arról, hogy az új verzió valóban települt.

Kézi telepítés (alternatíva)
Ha nem jelenik meg frissítés, töltse le a csomagot a Balbooa-fiókjából, és telepítse a Bővítmények›Kezelés›Telepítés menüpontban.
Biztonságos verzió letöltése

Hivatalos letöltési forrás: via Balbooa. A telepített verzió legyen legalább Balbooa Forms 2.4.1 vagy újabb.

Feltörték már a weboldalt?

Fertőzés esetén a frissítés nem elég
A frissítés bezárja a biztonsági rést, de a már feltöltött kártékony kódot nem távolítja el. Nézze át az images/baforms/uploads/ könyvtárat és a környező mappákat, nincsenek-e bennük idegen .php-fájlok. Ellenőrizze a felhasználók listáját is, nem jelent-e meg új szuperfelhasználó. Ha bármit talál, cserélje le az összes jelszót (Joomla-adminisztrátor, FTP/SSH, adatbázis). Kétség esetén bízza szakemberre az oldal megtisztítását.

Segítségre van szüksége a kártékony kód eltávolításához? Megfelelő szakembereket a Joomla szolgáltatói jegyzékében talál.

Források & további hivatkozások

Minden esetben az adott fejlesztő hivatalos közlése az irányadó. Ez az oldal semlegesen foglalja össze a nyilvánosan elérhető információkat.

Vissza az összes biztonsági réshez
Supporters

Supporters of this site

htprotect.org is a free, vendor-independent information service. It is supported by:

Host & community
FC-Hosting

Joomla host from Germany with active community support – discovered the first attack on the JCE vulnerability.

fc-hosting.de
Initiator & operator
Website-Bereinigung.de

Specialised in cleaning, maintaining and securing Joomla and WordPress websites.

website-bereinigung.de

Support this project

You run a hosting or Joomla service and would like to support htprotect.org – and be listed here as a supporter? Every contribution helps to warn and protect those affected faster.

Prefer to give privately, without a listing? A little something for the tip jar is just as welcome.

Support HTProtect now
Bauschild & Service

Manufactures and installs construction-site signs, hoardings and façade solutions – including design and 3D visualisation.

bauschildundservice.de
IT Specialista

Professional IT support from Czechia – Windows management, domain administration and web hosting.

defendersoft.cz
onlineweg.de

Travel portal from Germany – package holidays, hotels and flights online, with personal travel-agency advice.

onlineweg.de
Criadero

Creative agency from Brandenburg – web design, print media, photography and 360° panoramas from a single source.

criadero.de
Jahn EDV-Dienst GmbH

IT service provider from Wächtersbach – Joomla websites, PC service, hardware and software.

jahnedv.de
IsariConsult

Information-security consulting from Berlin – security analyses, risk management and ISO 27001 for SMEs.

isari-consult.de