Łukasz Rybak

Joomla Extension - joomlafry.com - Unauthenticated cross-record publication and mass assignment in TF Content 2.9.0 - 2.9.4 - The extension unconditionally authorizes both creation and editing in its public `RecordController`. Its shared frontend save controller accepts the raw `jform` array, assigns the request-selected existing record ID, and saves it without filtering submitted properties through the configured form. A Guest can obtain a valid token from Joomla's public login form and modify any TF Content row, including mass-assigning `published`, `access`, and `created by`.

The extension exposes the site task `records.custom action` without authentication, Access Control List (ACL), Cross-Site Request Forgery (CSRF) protection, task-trigger, content-binding, or cron-token enforcement. This allows an unauthenticated guest to provide the numeric ID of any published TF Content task and force the component to execute its configured executor immediately.

An unauthenticated remote code execution (RCE) issue exists in the `com baforms` component. The software allows administrators to define PHP code that executes after a public form submission, which supports the use of form-field shortcodes. The component fails to properly sanitize these shortcodes before passing them to the `eval()` function, replacing them with raw values submitted by the visitor. This allows an attacker to execute arbitrary code if a public form utilizes the optional PHP-after-submission action and interpolates an attacker-controlled field shortcode within a double-quoted PHP string.

An unauthenticated stored Cross-Site Scripting (XSS) issue exists in the public form upload endpoint. While the endpoint validates file extensions and MIME types, it stores the original multipart filename provided by the user verbatim in the `# baforms submissions attachments.name` field. A subsequent anonymous form submission can associate this temporary attachment with a new submission. When an administrator views the submission, the component's JavaScript retrieves the stored attachment record and concatenates the `file.name` variable directly into an HTML string, which is then assigned to `innerHTML`. XSS is a technique where malicious scripts are injected into trusted websites.

An unauthenticated path traversal issue exists where the component accepts upload-field state as guest-controlled JSON during public form submission. If the auto-reply and attach uploaded files options are enabled, the component trusts the supplied `filename` for objects with a numeric `id` and concatenates it with the upload directory without verifying ownership, session, or enforcing path containment. This allows a guest to submit a nonexistent numeric ID and a traversal filename, such as `../../../../configuration.php`, causing the system to send local files as email attachments to the submitted email address.

توجد مشكلة تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) دون مصادقة، وذلك لأن البرنامج يعالج كتل `{source}` الموجودة في كود HTML النهائي المعروض في Joomla دون تحديد مصدر التعليمات البرمجية بشكل موثوق. وهذا يسمح بتنفيذ تعليمات برمجية عشوائية من خلال مدخلات المستخدم المنعكسة غير المتحقق منها.

يمكن للمستخدمين المصادق عليهم تنفيذ أوامر شل عشوائية بامتيازات الجذر. ويتم ذلك عن طريق إدخال حمولة ضارة في حقل «عنوان IP» في أدوات اختبار التشخيص.

يوجد ثغرة في ميزة الوضع الآمن الاختيارية لـ Twig `CMS SAFE MODE`. لم يتم تقييد بعض الطرق في الدالة المساعدة `collect()` بشكل صحيح، مما سمح للمستخدمين المصادق عليهم الذين يمتلكون أذونات تحرير القوالب بتجاوز حماية الوضع الآمن. تؤثر هذه المشكلة فقط على التثبيتات التي تم فيها تمكين `CMS SAFE MODE`، وهو معطل افتراضيًا، وتتطلب وصولًا مصادقًا إلى الخلفية مع أذونات تحرير قوالب CMS.

برنامج Omega-PSIR معرض لثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المنعكس. يمكن للمهاجم إنشاء رابط URL ضار باستخدام المعلمة `lang`. وعندما يفتح المستخدم هذا الرابط، قد يؤدي ذلك إلى تنفيذ تعليمات برمجية JavaScript عشوائية في متصفح المستخدم. المعلمة المعرضة للثغرة هي `lang`. لم يتم تحديد نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة.