CVE-2026-102425

Nome do Software Vulnerável e Versões Afetadas Balbooa Forms versões anteriores a 2.4.3.4

Description Um problema de execução remota de código (RCE) não autenticado existe no componente com baforms. O software permite que administradores definam código PHP que é executado após o envio de um formulário público, o qual suporta o uso de shortcodes de campos de formulário. O componente não sanitiza adequadamente esses shortcodes antes de passá-los para a função eval(), substituindo-os por valores brutos enviados pelo visitante. Isso permite que um invasor execute código arbitrário se um formulário público utilizar a ação opcional de PHP após o envio e interpolar um shortcode de campo controlado pelo invasor dentro de uma string PHP entre aspas duplas.

Recommendations Atualize para a versão 2.4.3.4 ou posterior.