Balbooa Forms 2.4.3.2 i Gallery 2.5.1.1. Aktualizacja bezpieczeństwa

Balbooa wydało kolejne aktualizacje zabezpieczeń dwóch rozszerzeń dla Joomla: Forms 2.4.3.2 oraz Gallery 2.5.1.1. Zmiany obejmują kontrolę dostępu w menedżerze mediów, walidację ścieżek i operacji na plikach, a w Forms również sprawdzanie kwot płatności, parametrów skryptów PHP uruchamianych po wysłaniu formularza oraz obrazów podpisu.

Producent określa wydania z 18 sierpnia 2026 roku jako security hardening. Jednocześnie zaznacza, że nie dotyczą one nowej, publicznie ujawnionej podatności. Nie opublikowano numeru CVE, oceny CVSS ani technicznego scenariusza ataku. Nie należy ich więc opisywać jako potwierdzonego nowego RCE. Zakres zmian uzasadnia jednak szybką aktualizację wszystkich instalacji.

Docelowe wersje to Balbooa Forms 2.4.3.2 i Balbooa Gallery 2.5.1.1 albo wydania nowsze. Administratorzy, którzy niedawno instalowali Forms 2.4.3.1 lub Gallery 2.5.1, powinni sprawdzić numery ponownie — sierpniowe wydania dodają następny zestaw zabezpieczeń.

Joomla Guru może wykonać kopię zapasową, aktualizację rozszerzeń Balbooa i testy strony. Jeżeli serwis wcześniej korzystał z podatnej wersji Forms i znajdują się w nim nieznane pliki PHP lub konta administratorów, potrzebna jest także analiza incydentu i ewentualne usunięcie skutków włamania.

Co poprawiono w Balbooa Forms 2.4.3.2?

Forms przyjmuje dane od anonimowych użytkowników, obsługuje pliki, obrazy podpisów, płatności i opcjonalne skrypty PHP wykonywane po wysłaniu formularza. Każdy z tych obszarów wymaga walidacji po stronie serwera. Wersja 2.4.3.2 wzmacnia pięć grup mechanizmów.

• Menedżer mediów: poprawiono autoryzację, obsługę żądań i kontrolę dostępu do operacji wykonywanych na plikach.
• System plików: dodano dokładniejsze sprawdzanie ścieżek oraz zabezpieczenia wewnętrznych operacji na plikach i katalogach.
• Płatności: rozszerzono walidację, aby kwota transakcji była konsekwentnie weryfikowana podczas przetwarzania płatności.
• Skrypty PHP po wysłaniu formularza: poprawiono obsługę i sprawdzanie przekazywanych parametrów.
• Obrazy podpisów: aplikacja dokładniej potwierdza, że przetwarzane i zapisywane dane są prawidłowym obrazem.

Wydanie poprawia również dwa problemy funkcjonalne: wysyłanie formularza przy włączonej minifikacji plików w Gridbox oraz pozycję rozszerzonego komunikatu z podziękowaniem.

Co poprawiono w Balbooa Gallery 2.5.1.1?

W Gallery zmiany skupiają się na wbudowanym menedżerze mediów i operacjach na systemie plików. Producent poprawił autoryzację, obsługę żądań oraz kontrolę dostępu, a także walidację ścieżek używanych przy pracy z plikami i katalogami.

To istotny obszar, ponieważ Gallery pozwala przesyłać, edytować, porządkować i usuwać obrazy. Błąd kontroli dostępu albo nieprawidłowa walidacja ścieżki może prowadzić do działania poza katalogiem, którego miała dotyczyć dana operacja. Balbooa nie podało jednak, czy taki scenariusz był możliwy w praktyce ani jakie uprawnienia byłyby potrzebne. Bez szczegółów nie można przypisać tej aktualizacji konkretnej klasy podatności lub oceny ryzyka.

To hardening, a nie nowy publiczny CVE

W oficjalnym komunikacie Balbooa wyraźnie napisało, że Forms 2.4.3.2 i Gallery 2.5.1.1 nie są związane z żadną publicznie ujawnioną podatnością. Producent nie wskazał zakresu podatnych wersji, nie opisał sposobu wykorzystania i nie nadał aktualizacjom oceny CVSS.

Wydania powstały po odpowiedzialnych zgłoszeniach Akinlabiego Omooguna i Sergiya Tryzhychynskyiego. Komunikat został opublikowany na stronie Balbooa, przesłany klientom z aktywną subskrypcją e-mail i udostępniony w oficjalnych kanałach społecznościowych.

Dla administratora rozróżnienie ma znaczenie. Aktualizację trzeba wdrożyć, ponieważ zabezpiecza wrażliwe funkcje. Nie ma jednak podstaw, by na podstawie samego changelogu twierdzić, że nowe problemy są wykorzystywane w atakach albo pozwalają anonimowo przejąć stronę.

Dlaczego Forms wymaga szczególnej kontroli?

Nowy hardening jest odrębny od dwóch krytycznych podatności Forms ujawnionych w lipcu 2026 roku. Pierwsza z nich, CVE-2026-56291, umożliwiała niezalogowanemu użytkownikowi przesłanie wykonywalnego pliku i doprowadzenie do zdalnego wykonania kodu. Podatne były wersje starsze niż 2.4.1. CISA umieściła ten błąd w katalogu Known Exploited Vulnerabilities, czyli potwierdziła wykorzystanie w realnych atakach.

Druga luka, CVE-2026-65880, dotyczyła przetwarzania pola podpisu. Otrzymała ocenę 10,0 w CVSS 4.0 i została poprawiona w Forms 2.4.3. Oba problemy są już zamknięte w obecnej linii, ale strona, która działała wcześniej na podatnej wersji, może nadal zawierać pliki lub inne zmiany pozostawione przed aktualizacją.

Najnowsze wydanie 2.4.3.2 zawiera wszystkie wcześniejsze poprawki oraz nowy zestaw wzmocnień. Nie ma powodu zatrzymywać się na minimalnych wersjach 2.4.1 lub 2.4.3.

Które wersje trzeba zainstalować?

Aktualne numery można sprawdzić w sekcji System → Zarządzanie → Rozszerzenia. Pakiety Pro są dostępne w koncie Balbooa przy aktywnej subskrypcji. Wersje Free można pobrać ze stron produktów lub zainstalować przez obsługiwany mechanizm aktualizacji.

• Balbooa Forms  oficjalna strona produktu
• Balbooa Gallery  oficjalna strona produktu

Jak bezpiecznie przeprowadzić aktualizację?

1. Wykonaj pełną kopię plików i bazy danych oraz sprawdź, czy można ją odtworzyć.
2. Zapisz aktualne wersje Forms i Gallery. Sprawdź, czy używasz wydań Free czy Pro i czy subskrypcja pozwala pobrać bieżący pakiet.
3. Jeżeli formularze obsługują płatności lub niestandardowe skrypty PHP, najpierw wykonaj aktualizację na kopii testowej.
4. Zainstaluj Forms 2.4.3.2 i Gallery 2.5.1.1 albo wersje nowsze bez wcześniejszego odinstalowywania komponentów.
5. Po instalacji wyczyść pamięć podręczną Joomla, serwera i CDN, a następnie ponownie sprawdź numery wersji.

Nie ograniczaj kontroli do tego, czy panel administratora nadal się otwiera. Aktualizacja dotyka procesów, które trzeba sprawdzić na konkretnych danych i przy uprawnieniach używanych na stronie.

Co przetestować po aktualizacji Forms?

• wysłanie zwykłego formularza oraz formularza z polem pliku;
• pole podpisu, zapis obrazu i wiadomości e-mail zawierające podpis;
• operacje przesyłania, podglądu i usuwania plików w menedżerze mediów;
• każdą aktywną bramkę płatniczą w trybie testowym, ze sprawdzeniem kwoty po stronie operatora;
• skrypty PHP uruchamiane po wysłaniu formularza, szczególnie korzystające z parametrów zgłoszenia;
• formularze osadzone w Gridbox przy używanym ustawieniu minifikacji.

W publicznych formularzach należy pozostawić aktywną ochronę CAPTCHA lub Turnstile. Ogranicza ona automatyczny spam, ale nie zastępuje aktualizacji kodu.

Co przetestować po aktualizacji Gallery?

Sprawdź przesyłanie i edycję obrazów, tworzenie miniaturek, zmianę katalogów, usuwanie mediów, porządkowanie galerii oraz funkcje dostępne z frontu. Testy wykonaj na kontach należących do różnych grup, jeżeli użytkownicy spoza grupy Super Users mają prawo zarządzać galeriami.

Warto też przejrzeć konfigurację uprawnień Gallery. Dostęp do interfejsu administracyjnego, tworzenia, edycji, usuwania i zmiany stanu powinny mieć tylko grupy, które rzeczywiście potrzebują tych operacji.

Czy trzeba sprawdzić stronę pod kątem włamania?

Sam komunikat z 18 sierpnia nie potwierdza wykorzystania nowych problemów. Kontrola bezpieczeństwa jest jednak konieczna, jeżeli strona kiedykolwiek działała na Balbooa Forms 2.4.0 lub starszym podczas aktywnych ataków na CVE-2026-56291.

• przejrzyj katalog images/baforms/uploads/ i jego podkatalogi; nie powinno być tam wykonywalnych plików PHP;
• sprawdź pozostałe nowe i niedawno zmodyfikowane pliki PHP w całej instalacji;
• skontroluj konta Super Users, zadania cykliczne, wtyczki systemowe i plik configuration.php;
• przejrzyj logi serwera z okresu przed aktualizacją, jeżeli są dostępne;
• po wykryciu oznak kompromitacji zmień dane dostępowe dopiero po usunięciu mechanizmów ponownego dostępu.

Sama instalacja najnowszej wersji zamyka znane drogi ataku, ale nie usuwa wcześniejszych modyfikacji strony.

Inne aktualizacje Balbooa

Balbooa w ostatnich tygodniach publikuje serię poprawek bezpieczeństwa obejmujących Forms, Gallery i Gridbox. Osobny artykuł Joomla Guru opisuje 23 krytyczne podatności Gridbox i aktualizację do wersji 2.20.2. Nowszy Gridbox również otrzymał kolejne wydania hardening, dlatego na stronach korzystających z kilku produktów Balbooa trzeba sprawdzić cały zestaw, a nie tylko Forms i Gallery.

Pomoc przy aktualizacji Forms i Gallery

W ramach opieki serwisowej Joomla Joomla Guru może wykonać kopię zapasową, aktualizację Balbooa Forms i Gallery, testy formularzy, płatności, podpisów oraz operacji na mediach. Jeżeli strona działała wcześniej na wersji Forms objętej aktywnymi atakami, zakres prac można rozszerzyć o analizę plików i logów oraz czyszczenie zainfekowanej strony Joomla.

Źródła i dalsza lektura

• Balbooa: Forms and Gallery Security Hardening
• Balbooa Forms  oficjalny changelog
• Balbooa Gallery  oficjalny changelog
• CVE-2026-56291: wcześniejszy upload pliku prowadzący do RCE w Forms
• CVE-2026-65880: wcześniejsze RCE przez pole podpisu w Forms
• CISA KEV: CVE-2026-56291