Balbooa Forms两免认证漏洞PoC公开

研究者 Lulztigre 公开了 Joomla 组件 Balbooa Forms（com_baforms）两个免认证漏洞 CVE-2026-67364 与 CVE-2026-67363 的 PoC 和 Nuclei 检测模板，两个漏洞均已在 2.4.3.2 版本修复。 据其说明，CVE-2026-67364 的 eval 远程代码执行需要管理员侧前提：提交按钮配置了引用 `[URL parameter = X]` 的自定义 PHP 处理器，且该按钮未启用 reCAPTCHA；旧版 Joomla 可能完全不校验 CSRF token，PoC 在 token 接口异常时会跳过该 token 继续。 CVE-2026-67363 的支付篡改未纳入 Nuclei 自动化，因为每次探测都是对商户支付网关的真实扣款尝试。

AI 根据报道生成 · 17 小时前更新