CVE-2026-56291

Суть уязвимости

Критическая уязвимость CVE-2026-56291 в компоненте Balbooa Forms связана с отсутствием надлежащей проверки типов файлов при их загрузке. Неавторизованный злоумышленник может отправить специально сформированный запрос, содержащий исполняемый файл (например, с расширением .php). Поскольку система не проверяет расширение и содержимое файла на стороне сервера, вредоносный скрипт сохраняется в публично доступной директории. Это позволяет выполнить произвольный код (RCE) в контексте веб-сервера, что ведет к полной компрометации сайта и базы данных.

Как исправить

Перейдите в панель управления Joomla и выполните обновление компонента Balbooa Forms до последней доступной версии, в которой официально заявлено исправление CVE-2026-56291. Проверьте настройки каждого поля «File Upload» в созданных формах и убедитесь, что в списке разрешенных расширений отсутствуют исполняемые типы (php, php5, phtml, exe, pl, py). Проведите аудит директории загрузок компонента на наличие сторонних скриптов.

find components/com_baforms/uploads/ -name "*.php"

Смените секретные ключи и пароли доступа к базе данных, если факт эксплуатации уязвимости был подтвержден.

Временные меры

Создайте файл .htaccess в директории загрузки Balbooa Forms для запрета выполнения любых скриптов.

<FilesMatch "\.(php|php5|phtml|pl|py|jsp|asp|sh|cgi)$">
Order Allow,Deny
Deny from all
</FilesMatch>

Если используется Nginx, добавьте правило в конфигурацию сервера для блокировки выполнения PHP в папке uploads.

location ~* ^/components/com_baforms/uploads/.*\.php$ {
    deny all;
}

Настройте правило на Web Application Firewall (WAF) для фильтрации POST-запросов к компоненту Balbooa Forms, содержащих признаки загрузки многоцелевых файлов (multipart/form-data) с подозрительными расширениями. Временно отключите поля загрузки файлов во всех активных формах через административную панель до установки официального патча.