JoomlaのBalbooa Formsに添付削除の脆弱性

Joomla — CVE-2026-101112

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

Joomlaの拡張機能 Balbooa Forms 2.4.3.4未満に問題があります。削除対象の添付ファイルの持ち主確認が足りず、他人の一時ファイルを消されるおそれがあります。

放置するとどうなるか

必要な添付ファイルが消えると、問い合わせ対応や申請処理が止まる可能性があります。業務データの欠落や再提出の手間も発生します。

今すぐやること

Balbooa Formsを2.4.3.4以上へ更新してください。公開フォームの添付削除機能を使っているなら、無効化できるか確認しましょう。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Joomla が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「Balbooa Forms < 2.4.3.4」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

Joomla Extension - balbooa.com - Unauthorized Deletion of Attachments in Balbooa Forms < 2.4.3.4 - The public removeTmpAttachment action accepts an integer attachment ID and deletes the matching database row and file. The controller verifies a Joomla session token, but the model does not bind that ID to the session that uploaded the file, the current user, the form, the upload field, or the temporary state. Any guest can obtain a token for their own session, so the token prevents CSRF but does not authorize the target object.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。