CVE-2026-102424

Nome do Software Vulnerável e Versões Afetadas Balbooa Forms versões anteriores a 2.4.3.4

Description Um problema de path traversal não autenticado existe onde o componente aceita o estado do campo de upload como JSON controlado por convidados durante a submissão de formulários públicos. Se as opções de resposta automática e anexo de arquivos enviados estiverem habilitadas, o componente confia no filename fornecido para objetos com um id numérico e o concatena ao diretório de upload sem verificar a propriedade, sessão ou impor a contenção do caminho. Isso permite que um convidado envie um ID numérico inexistente e um nome de arquivo de travessia, como ../../../../configuration.php, fazendo com que o sistema envie arquivos locais como anexos de e-mail para o endereço de e-mail enviado.

Recommendations Atualize o Balbooa Forms para a versão 2.4.3.4. Como mitigação temporária, desative as opções de resposta automática e anexo de arquivos enviados nas configurações do formulário.