Balbooa Forms: vulnerabilidade crítica de upload (RCE)
Versão segura: Balbooa Forms 2.4.3.2 ou superior · via Balbooa
Em resumo
com_baforms)Do que se trata?
O Balbooa Forms (com_baforms) cria formulários de contato e de inscrição para o Joomla. Os formulários podem receber anexos – e foi justamente esse caminho de upload que ficou desprotegido: a requisição do front-end que grava um anexo podia ser disparada sem nenhum login e não verificava nem o token de segurança (CSRF) nem o tipo do arquivo.
Na prática, um invasor consegue enviar um arquivo PHP executável. Ele fica em uma subpasta acessível publicamente dentro do diretório de uploads e pode então ser aberto direto pelo navegador – o código injetado roda no servidor (execução remota de código). A partir daí, o site inteiro pode ser assumido pelo invasor.
Hoje já são conhecidas duas vulnerabilidades. A primeira afetava o upload de arquivos e foi corrigida em 9 de julho de 2026 na versão 2.4.1 (CVE-2026-56291). Em 19 de agosto de 2026 apareceu a segunda: por meio de um trecho de código que aceita sem verificação um valor vindo da barra de endereços, um invasor conseguia injetar e executar código PHP próprio sem nenhum login (CVE-2026-67364, gravidade 10 de 10). São afetadas todas as versões até a 2.4.3.1, inclusive; só a 2.4.3.2 é segura. Vale saber para não entrar em pânico: a segunda vulnerabilidade só funciona se o formulário usar um handler PHP próprio com exatamente esse trecho de código e não tiver um reCAPTCHA na frente – ou seja, ela não atinge toda instalação. Isso não diminui a urgência da atualização: quem não conseguir avaliar isso com segurança deve, na dúvida, se considerar afetado. A vulnerabilidade está registrada como CVE-2026-56291 e, segundo o relatório, já vem sendo explorada em ataques reais; nenhum código de exploit público foi divulgado.
Meu site foi afetado? – Como verificar
- Abra o backend
Faça login no administrador do Joomla.
- Verifique a versão
Em Extensões›Gerenciar›Gerenciar, filtre por
Balbooa Formse veja o número da versão. - Avalie a versão
Se a versão for 2.4.3.1 ou anterior, é preciso agir imediatamente.
- Procure por vestígios
Verifique na pasta images/baforms/uploads/ se há arquivos
.phpestranhos e se aparecem contas de administrador desconhecidas na lista de usuários.
Como corrigir a vulnerabilidade
- Abra a central de atualizações
Vá em Sistema›Atualizar›Extensões e clique em Verificar Atualizações.
- Atualize o Balbooa Forms
Selecione o item e atualize para a 2.4.3.2 ou superior.
- Confira a versão
Em seguida, verifique se a nova versão foi mesmo aplicada.
Download oficial: via Balbooa. Certifique-se de ter pelo menos Balbooa Forms 2.4.3.2 ou superior.
Seu site já foi atacado?
.php estranhos, revise a lista de usuários à procura de novos Super Usuários e, se encontrar algo, troque todas as senhas (administrador do Joomla, FTP/SSH, banco de dados). Na dúvida, contrate uma limpeza profissional do site.Precisa de ajuda com a limpeza? Você encontra profissionais qualificados no Diretório de Prestadores de Serviços do Joomla.
Fontes & mais informações
- Publicação original – mySites.guruAlerta de segurança com os detalhes técnicos
- Balbooa (fabricante)Obtenha a atualização pelo atualizador do Joomla ou na sua conta Balbooa
- CVE-2026-56291 (CVE.org)Registro oficial do CVE
- Joomla Vulnerable Extensions List (VEL)Lista de extensões vulneráveis mantida pela comunidade
As informações oficiais de cada desenvolvedor sempre prevalecem. Esta página reúne de forma neutra informações disponíveis publicamente.
Vulnerabilidades relacionadas
Outras extensões com vulnerabilidades semelhantes. Verifique se alguma delas está instalada no seu site.
Apoiadores deste site
O htprotect.org é um serviço de informação gratuito e independente de qualquer desenvolvedor. Ele conta com o apoio de:
Empresa de hospedagem Joomla da Alemanha, com suporte ativo da comunidade – detectou o primeiro ataque à vulnerabilidade do JCE.
fc-hosting.de
Especializada em limpeza, manutenção e proteção de sites Joomla e WordPress.
website-bereinigung.deApoie este projeto
Você tem um serviço de hospedagem ou trabalha com Joomla e quer apoiar o htprotect.org – e aparecer aqui como apoiador? Cada contribuição ajuda a avisar e a proteger mais rápido quem foi afetado.
Prefere contribuir de forma reservada, sem aparecer na lista? Uma ajuda para a caixinha do café é igualmente bem-vinda.
Fabricação e instalação de placas de obra, tapumes e soluções de fachada – incluindo design e visualização em 3D.
bauschildundservice.deSuporte de TI profissional da República Tcheca – gestão de Windows, administração de domínios e hospedagem de sites.
defendersoft.cz
Portal de viagens da Alemanha – pacotes de viagem, hotéis e passagens aéreas on-line, com atendimento personalizado de agência de viagens.
onlineweg.de
Agência de criação de Brandenburg – webdesign, materiais impressos, fotografia e panoramas em 360°, tudo em um só lugar.
criadero.dePrestadora de serviços de TI de Wächtersbach – sites em Joomla, assistência técnica de computadores, hardware e software.
jahnedv.de
Consultoria em segurança da informação de Berlin – análises de segurança, gestão de riscos e ISO 27001 para pequenas e médias empresas.
isari-consult.de