Balbooa Forms — критическая уязвимость загрузки файлов
Безопасная версия: Balbooa Forms 2.4.3.2 или новее · via Balbooa
Коротко о главном
com_baforms)В чём суть уязвимости?
Balbooa Forms (com_baforms) создаёт для Joomla контактные и регистрационные формы. Формы умеют принимать вложения — и именно этот путь загрузки остался незащищённым: запрос из публичной части сайта, который сохраняет вложение, можно было вызвать без входа в систему, причём он не проверял ни токен безопасности (CSRF), ни тип файла.
В результате злоумышленник может загрузить исполняемый PHP-файл. Файл попадает в общедоступный подкаталог папки загрузок, после чего его достаточно открыть прямо в браузере — внедрённый код выполняется на сервере (удалённое выполнение кода). С этого момента сайт можно захватить полностью.
На сегодня известны две уязвимости. Первая касалась загрузки файлов и была закрыта версией 2.4.1 от 9 июля 2026 года (CVE-2026-56291). 19 августа 2026 года к ней добавилась вторая: через фрагмент кода, который без проверки принимает значение из адресной строки, можно было без аутентификации внедрить и выполнить собственный PHP-код (CVE-2026-67364, уровень опасности 10 из 10). Уязвимы все версии до 2.4.3.1 включительно; безопасна только 2.4.3.2. Важное уточнение: вторая уязвимость срабатывает лишь в том случае, если форма использует собственный PHP-обработчик именно с этим фрагментом кода и перед ним не стоит reCAPTCHA, — то есть затрагивает она не каждую установку. Срочность обновления это не отменяет: если вы не можете уверенно исключить такой сценарий, считайте, что сайт уязвим. Уязвимости присвоен идентификатор CVE-2026-56291; по данным отчёта, она уже эксплуатируется в реальных атаках, при этом общедоступный код эксплойта не публиковался.
Мой сайт уязвим? – Как это проверить
- Откройте панель управления
Войдите в административный раздел Joomla.
- Проверьте версию
В разделе Расширения›Управление›Управление отфильтруйте список по
Balbooa Formsи посмотрите номер версии. - Оцените версию
Если установлена версия 2.4.3.1 или более ранняя, действовать нужно немедленно.
- Поищите следы взлома
Проверьте папку images/baforms/uploads/ на посторонние файлы
.php, а список пользователей — на неизвестные учётные записи администраторов.
Как закрыть уязвимость
- Откройте центр обновлений
Перейдите в Система›Обновление›Расширения и нажмите Проверить обновления.
- Обновите Balbooa Forms
Выберите нужную запись и обновите её до версии 2.4.3.2 или новее.
- Проверьте версию
После этого убедитесь, что новая версия действительно установлена.
Официальный источник: via Balbooa. Убедитесь, что установлена версия не ниже Balbooa Forms 2.4.3.2 или новее.
Сайт уже взломали?
.php, просмотрите список пользователей на предмет новых суперпользователей и, если что-то нашлось, смените все пароли (администратор Joomla, FTP/SSH, база данных). При малейших сомнениях поручите очистку сайта специалистам.Нужна помощь с очисткой сайта? Подходящих специалистов вы найдёте в каталоге поставщиков услуг Joomla.
Источники & полезные ссылки
- Первоисточник — mySites.guruБюллетень безопасности с техническими подробностями
- Balbooa (разработчик)Обновление доступно через менеджер обновлений Joomla или аккаунт Balbooa
- CVE-2026-56291 (CVE.org)Официальная запись CVE
- Joomla Vulnerable Extensions List (VEL)Список уязвимых расширений, который ведёт сообщество
Приоритет всегда имеет официальная информация соответствующего разработчика. Эта страница нейтрально обобщает общедоступные сведения.
Похожие уязвимости
Другие расширения со схожими уязвимостями. Проверьте, не установлено ли какое-либо из них на вашем сайте.
Партнёры этого сайта
htprotect.org — бесплатный информационный проект, независимый от разработчиков. Нас поддерживают:
Joomla-хостинг из Германии с активной поддержкой сообщества – обнаружил первую атаку на уязвимость в JCE.
fc-hosting.de
Специализируется на очистке, обслуживании и защите сайтов на Joomla и WordPress.
website-bereinigung.deПоддержать этот проект
Вы предоставляете услуги хостинга или работаете с Joomla и хотите поддержать htprotect.org – и быть указанным здесь среди партнёров? Любая поддержка помогает быстрее предупреждать и защищать тех, кого это коснулось.
Предпочитаете поддержать частным образом, без упоминания? Небольшой взнос в копилку на кофе порадует нас не меньше.
Изготовление и монтаж строительных щитов, строительных ограждений и фасадных решений – включая дизайн и 3D-визуализацию.
bauschildundservice.deПрофессиональная ИТ-поддержка из Чехии – управление Windows, администрирование доменов и веб-хостинг.
defendersoft.cz
Туристический портал из Германии – пакетные туры, отели и авиабилеты онлайн, с личной консультацией турагентства.
onlineweg.de
Креативное агентство из Бранденбурга – веб-дизайн, полиграфия, фотосъёмка и панорамы 360°, всё от одного исполнителя.
criadero.deИТ-услуги из города Wächtersbach – сайты на Joomla, обслуживание ПК, аппаратное и программное обеспечение.
jahnedv.de
Консалтинг по информационной безопасности из Берлина – анализ защищённости, управление рисками и ISO 27001 для малого и среднего бизнеса.
isari-consult.de