CVE-2026-101127

Nome do Software Vulnerável e Versões Afetadas Balbooa Forms versões anteriores a 2.4.3.4

Descrição Um problema de Cross-Site Scripting (XSS) armazenado não autenticado existe no endpoint de upload de formulários públicos. Embora o endpoint valide as extensões de arquivo e os tipos MIME, ele armazena o nome de arquivo multipart original fornecido pelo usuário verbatim no campo # baforms submissions attachments.name. Um envio de formulário anônimo posterior pode associar esse anexo temporário a um novo envio. Quando um administrador visualiza o envio, o JavaScript do componente recupera o registro do anexo armazenado e concatena a variável file.name diretamente em uma string HTML, que é então atribuída ao innerHTML. XSS é uma técnica onde scripts maliciosos são injetados em sites confiáveis.

Recomendações Atualize o Balbooa Forms para a versão 2.4.3.4 ou posterior.