JoomlaのBalbooa Formsに料金改ざんの脆弱性

Joomla — CVE-2026-67363

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

Joomlaの拡張機能Balbooa Formsで、支払う金額を利用者側で書き換えられる問題があります。認証や不正送信対策も弱く、表示された価格より安く支払われるおそれがあります。

放置するとどうなるか

本来の金額より少ない支払いで商品やサービスを提供される可能性があります。注文内容も書き換えられ、売上の損失につながります。

今すぐやること

Balbooa Formsを2.4.3.2以上に更新してください。ネットショップや申込フォームで使っている場合は、至急確認して運用を止める判断も検討してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Joomla が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「Balbooa Forms < 2.4.3.2」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

Joomla Extension - balbooa.com - Pre-auth Payment Amount Tampering in Balbooa Forms < 2.4.3.2 - The stripeCharges and payAuthorize endpoints accept the charge total from a client-controlled request parameter and forward it to the payment gateway without recomputing it from the form's configured product prices. Neither endpoint enforces authentication or CSRF checks. An unauthenticated attacker can purchase any priced item for an arbitrary amount (e.g., $0.01), and can additionally forge line items, quantities, and shipping.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。