Sergiy Tryzhychynskyi

**Nome do Software Vulnerável e Versões Afetadas** Balbooa Forms versões anteriores a 2.4.3.4 **Descrição** Existe um problema onde a ação pública `removeTmpAttachment` permite a exclusão de linhas do banco de dados e arquivos ao aceitar um ID de anexo inteiro. Embora o controlador verifique um token de sessão do Joomla para prevenir Cross-Site Request Forgery (CSRF)—um tipo de ataque que força um usuário autenticado a executar ações indesejadas—o modelo não autoriza o objeto alvo. Ele não vincula o ID do anexo à sessão que fez o upload do arquivo, ao usuário atual, ao formulário, ao campo de upload ou ao estado temporário, permitindo que qualquer convidado com um token de sessão válido exclua anexos. **Recomendações** Atualize para a versão 2.4.3.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Balbooa Forms versões anteriores a 2.4.3.4 **Description** O envio final do formulário processa arrays JSON para cada campo de upload, mas verifica apenas se os IDs são numéricos. Como os nomes de arquivo e nomes de exibição fornecidos pelo cliente são confiados diretamente, o sistema está suscetível a adulteração de metadados, reivindicação de sessão cruzada e riscos de traversal de caminho, especificamente através da função `getFilePath()`. **Recommendations** Atualize o Balbooa Forms para a versão 2.4.3.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Balbooa Forms versões anteriores a 2.4.3.4 **Description** Um problema de execução remota de código (RCE) não autenticado existe no componente `com baforms`. O software permite que administradores definam código PHP que é executado após o envio de um formulário público, o qual suporta o uso de shortcodes de campos de formulário. O componente não sanitiza adequadamente esses shortcodes antes de passá-los para a função `eval()`, substituindo-os por valores brutos enviados pelo visitante. Isso permite que um invasor execute código arbitrário se um formulário público utilizar a ação opcional de PHP após o envio e interpolar um shortcode de campo controlado pelo invasor dentro de uma string PHP entre aspas duplas. **Recommendations** Atualize para a versão 2.4.3.4 ou posterior.