Alerta CRÍTICA: Se ha publicado la vulnerabilidad CVE-2026-102425, que afecta a la extensión Balbooa Forms para Joomla en versiones anteriores a la 2.4.3.4. Esta falla permite la ejecución remota de código (RCE) sin autenticación mediante la inyección de shortcodes en campos de formularios públicos. La puntuación CVSS v4.0 es de 9.5 (CRÍTICA) y el fabricante ya ha publicado una actualización.
Resumen ejecutivo
| Identificador | CVE-2026-102425 |
|---|---|
| Fabricante | balbooa.com |
| Producto | Balbooa Forms extension for Joomla |
| Fecha de publicación | 2026-09-29 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.5 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) |
| Prioridad RyzerBot | 242 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La extensión Balboosa Forms para Joomla, desarrollada por balbooa.com, incorpora una funcionalidad opcional que permite a los administradores definir código PHP personalizado que se ejecuta después de que un formulario público es enviado. Esta característica está diseñada para automatizar acciones posteriores al envío, como el envío de notificaciones o la integración con sistemas externos.
El problema radica en que esta funcionalidad también admite el uso de shortcodes (códigos abreviados) que hacen referencia a los campos del formulario. Cuando el componente procesa el código PHP definido por el administrador, reemplaza cada shortcode con el valor bruto (sin saneamiento) introducido por el visitante del formulario. Posteriormente, ese código resultante se ejecuta mediante la función eval() de PHP.
Esta cadena de eventos crea un vector de inyección de código (CWE-94: Improper Control of Generation of Code – Code Injection). Un atacante remoto no autenticado podría enviar un valor especialmente diseñado en un campo del formulario que, al ser interpolado dentro de una cadena PHP delimitada por comillas dobles en el código del administrador, permita la ejecución de comandos arbitrarios en el servidor.
Es importante destacar que la vulnerabilidad no se activa por defecto. Para que un sitio sea explotable, se deben cumplir dos condiciones simultáneamente:
- El formulario público debe tener configurada la acción opcional de PHP después del envío.
- El código PHP definido por el administrador debe incluir un shortcode de campo controlable por el atacante dentro de una cadena PHP delimitada por comillas dobles.
La clasificación inicial del recolector de fuentes identifica el producto como «Balbooa Forms extension for Joomla» y el fabricante como «balbooa.com», coincidiendo con la información canónica publicada por CVE.org y NVD. La vulnerabilidad afecta a todas las versiones del producto desde la 1.0.0 hasta la 2.4.3.3 inclusive, siendo corregida en la versión 2.4.3.4.
Dado que la explotación no requiere autenticación previa y el impacto potencial incluye el compromiso total del servidor (confidencialidad, integridad y disponibilidad), esta vulnerabilidad debe ser tratada con la máxima prioridad por todos los administradores de sitios Joomla que utilicen esta extensión.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, el producto afectado es la extensión Balbooa Forms para Joomla, del fabricante balbooa.com. La vulnerabilidad afecta a las versiones comprendidas entre la 1.0.0 y la 2.4.3.3, ambas inclusive. La versión corregida es la 2.4.3.4.
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| Balbooa Forms extension for Joomla | balbooa.com | 1.0.0 – 2.4.3.3 | 2.4.3.4 |
No se han publicado en las fuentes consultadas listas específicas de sitios o entornos concretos más allá de la extensión indicada. Se recomienda revisar el aviso oficial del fabricante para confirmar el alcance exacto en su instalación.
Impacto y riesgo
La vulnerabilidad, identificada como CVE-2026-102425, ha recibido una puntuación CVSS v4.0 de 9.5, clasificada como CRITICAL. El vector asociado es CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, lo que indica un impacto alto en confidencialidad, integridad y disponibilidad, tanto en el sistema vulnerable como en el entorno que lo aloja.
La causa raíz se encuentra en una inyección de código del tipo CWE-94 (Control inadecuado de generación de código). La extensión permite al administrador definir código PHP personalizado que se ejecuta tras el envío de un formulario público. Este código admite shortcodes que se reemplazan por los valores enviados por el visitante antes de ser evaluados mediante eval(). Si el administrador ha configurado un formulario que interpola un shortcode controlable por el atacante dentro de una cadena PHP delimitada por comillas dobles, un usuario no autenticado podría inyectar código PHP arbitrario y lograr una ejecución remota de código (RCE).
El riesgo práctico es alto: un atacante remoto sin credenciales podría comprometer completamente el sitio Joomla, acceder a datos sensibles, modificar contenido, instalar malware o utilizar el servidor como punto de partida para otros ataques. La condición previa es que el sitio utilice la acción opcional de PHP tras el envío y que el formulario incluya un shortcode de campo en una posición vulnerable. Aun así, dado el impacto potencial, se recomienda tratar esta vulnerabilidad con prioridad máxima.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa en entornos reales para esta CVE. No se mencionan ataques en curso, ni se incluyen referencias a exploits públicos o pruebas de concepto. La ausencia de esta información no debe interpretarse como una garantía de seguridad; la criticidad de la vulnerabilidad y la facilidad de acceso (red, sin autenticación) hacen recomendable aplicar la actualización disponible de inmediato.
Indicadores de compromiso (IOC)
El campo de indicadores de compromiso estructurados (enrichment.ioc) aparece vacío en las fuentes consultadas. No se han publicado direcciones IP, dominios, hashes de archivos u otros IOC asociados a esta vulnerabilidad. No deben inventarse indicadores que no provengan de fuentes oficiales. Se recomienda monitorizar los registros del servidor y los archivos de la extensión en busca de modificaciones inusuales, especialmente en entornos que utilicen formularios con la funcionalidad de PHP posterior al envío.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Joomla es vulnerable a CVE-2026-102425, debes verificar dos aspectos fundamentales: la versión de la extensión Balbooa Forms y la configuración de los formularios que utilizan la acción de PHP posterior al envío.
1. Verifica la versión de Balbooa Forms
Accede al panel de administración de Joomla y navega hasta Extensiones → Gestionar → Instalar. Localiza Balbooa Forms en la lista de extensiones instaladas y comprueba el número de versión. Según la información publicada por CVE.org, las versiones afectadas son las comprendidas entre 1.0.0 y 2.4.3.3 inclusive. Si tu versión es anterior a 2.4.3.4, la extensión está dentro del rango afectado.
2. Revisa la configuración de tus formularios
La vulnerabilidad solo es explotable si se cumplen dos condiciones específicas en un formulario público:
- El formulario utiliza la acción opcional «PHP después del envío» (PHP-after-submission), definida por el administrador.
- Dentro de ese código PHP, se interpola un shortcode de campo de formulario dentro de una cadena PHP delimitada por comillas dobles.
Para comprobarlo, revisa cada formulario publicado en tu sitio. Ve a Componentes → Balbooa Forms y examina la configuración de cada formulario. Busca la sección de acciones post-envío y verifica si existe código PHP personalizado. Si encuentras shortcodes como {campo_nombre} o similares dentro de cadenas con comillas dobles en ese código, el formulario es potencialmente explotable.
Nota importante: Si no utilizas la acción de PHP posterior al envío en ningún formulario público, tu sitio no es explotable a través de este vector, aunque tengas una versión afectada instalada. Sin embargo, se recomienda actualizar igualmente para eliminar el riesgo futuro.
3. Comprueba los registros de actividad
Si sospechas que tu sitio pudo haber sido comprometido, revisa los registros de acceso del servidor y los logs de Joomla en busca de envíos de formularios inusuales o peticiones que contengan payloads sospechosos en los campos del formulario. La inyección se produce a través del valor enviado por el visitante, por lo que los intentos de explotación dejarían rastro en los datos de los envíos.
Mitigación y actualización
En el momento de la publicación de este análisis, la información disponible sobre CVE-2026-102425 indica que la vulnerabilidad afecta a Balbooa Forms en versiones anteriores a 2.4.3.4. La referencia oficial proporcionada por NVD y CVE.org apunta al sitio web del fabricante: https://www.balbooa.com/.
Acciones inmediatas de mitigación
Mientras se aplica la actualización oficial, se recomienda adoptar las siguientes medidas temporales:
- Deshabilitar la acción «PHP después del envío» en todos los formularios públicos que la utilicen. Esta acción se encuentra en la configuración del formulario, dentro de las opciones de procesamiento posterior al envío. Al desactivarla, se elimina el vector de ejecución de código.
- Revisar y sanear los shortcodes en cualquier código PHP existente. Si no puedes deshabilitar la acción, asegúrate de que ningún shortcode de campo se interpole dentro de cadenas con comillas dobles. Usa comillas simples o escapa adecuadamente las variables.
- Restringir el acceso al panel de administración mediante listas de control de acceso (ACL) y autenticación de dos factores (2FA) para prevenir modificaciones no autorizadas en la configuración de los formularios.
- Monitorizar los envíos de formularios en busca de patrones anómalos, como valores inusualmente largos o que contengan caracteres especiales de PHP (
$,{,}, comillas, etc.).
Actualización del producto
La única solución definitiva es actualizar Balbooa Forms a la versión 2.4.3.4 o posterior, una vez que el fabricante publique la corrección. Consulta el sitio oficial de Balbooa y el gestor de extensiones de Joomla para obtener la versión actualizada. No se han publicado parches alternativos ni firmas de detección específicas en las fuentes consultadas.
Advertencia: No se debe intentar parchear manualmente el código de la extensión sin la guía oficial del fabricante, ya que podría romper la funcionalidad o dejar la instalación en un estado inconsistente.
Checklist para administradores
- ☐ Verificar la versión instalada de Balbooa Forms en el gestor de extensiones de Joomla.
- ☐ Confirmar si la versión instalada está en el rango afectado (1.0.0 – 2.4.3.3).
- ☐ Auditar todos los formularios públicos para identificar el uso de la acción «PHP después del envío».
- ☐ Revisar el código PHP personalizado en busca de shortcodes interpolados en cadenas con comillas dobles.
- ☐ Deshabilitar temporalmente la acción PHP posterior al envío en todos los formularios afectados.
- ☐ Revisar los registros de envíos y logs del servidor en busca de intentos de explotación.
- ☐ Consultar el sitio oficial de Balbooa para conocer la disponibilidad de la versión corregida.
- ☐ Aplicar la actualización a la versión 2.4.3.4 o superior tan pronto como esté disponible.
- ☐ Revisar las cuentas de administrador de Joomla y reforzar las políticas de contraseñas y 2FA.
- ☐ Documentar el incidente y las acciones tomadas para futuras referencias.
Preguntas frecuentes
¿Qué es CVE-2026-102425?
Es una vulnerabilidad crítica de ejecución remota de código (RCE) sin autenticación en la extensión Balbooa Forms para Joomla, en versiones anteriores a 2.4.3.4. Permite a un atacante ejecutar código PHP arbitrario en el servidor mediante la inyección de shortcodes en campos de formulario que se interpolan en código PHP definido por el administrador.
¿Qué puntuación CVSS tiene esta vulnerabilidad?
La puntuación CVSS v4.0 asignada por NVD es de 9.5, con severidad CRITICAL. El vector completo es CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.
¿Necesito estar autenticado para explotar la vulnerabilidad?
No. La vulnerabilidad es explotable de forma no autenticada (PR:N en el vector CVSS). Un visitante anónimo del sitio puede enviar un formulario público con valores maliciosos en los campos para desencadenar la ejecución de código.
¿Todas las instalaciones de Balbooa Forms son vulnerables?
No. Solo son vulnerables aquellas instalaciones que cumplan dos condiciones: tener una versión afectada (1.0.0 – 2.4.3.3) y utilizar la acción opcional «PHP después del envío» con shortcodes de campo interpolados en cadenas de comillas dobles. Si no se usa esa característica, el sitio no es explotable a través de este vector.
¿Existen indicadores de compromiso (IOC) publicados?
No. Las fuentes consultadas (NVD y CVE.org) no han publicado indicadores de compromiso estructurados para esta vulnerabilidad. No se deben asumir IOC sin evidencia oficial.
¿Dónde puedo obtener la versión corregida?
La referencia oficial apunta al sitio del fabricante en https://www.balbooa.com/. También puedes consultar el gestor de extensiones de Joomla para comprobar si hay actualizaciones disponibles. La versión corregida es la 2.4.3.4 o superior.
Fuentes oficiales
La información contenida en este artículo se basa exclusivamente en los datos publicados por NVD y CVE.org en el momento de la redacción. Se recomienda consultar periódicamente estas fuentes para obtener actualizaciones sobre la vulnerabilidad y las soluciones oficiales.