Joomla Wysoka · CVSS 8.2 CVE-2021-47930 10 maja 2026

Balbooa Forms (Joomla): nieautoryzowany SQL injection

Balbooa Joomla Forms Builder 2.0.6

Formularz przyjmował spreparowany parametr „id” i wykonywał dowolne zapytania SQL bez logowania: atakujący mógł wyciągnąć dane z bazy (konta, hasła). Zaktualizuj komponent com_baforms.

Boisz się, że ta luka jest na Twojej stronie? Sprawdź to za darmo w kilkadziesiąt sekund albo od razu zleć nam naprawę i zabezpieczenie.
Sprawdź swoją stronę → Napraw z nami

Kogo dotyczy

Podatność dotyczy: Balbooa Joomla Forms Builder 2.0.6. Jeśli korzystasz z tego komponentu na swojej stronie, sprawdź wersję i zaktualizuj go jak najszybciej.

Jak groźne

Ocena: Wysoka, CVSS 8.2 w skali 0-10. Warto zareagować, zanim luka zostanie wykorzystana.

Co zrobić

  • Zaktualizuj podatny komponent do najnowszej wersji.
  • Jeśli poprawka jeszcze nie wyszła, tymczasowo wyłącz podatny element.
  • Sprawdź, czy strona nie została już zaatakowana: nietypowe pliki, nowe konta administratorów, przekierowania.
  • Zrób kopię zapasową, zanim zaczniesz wprowadzać zmiany.

Nie chcesz robić tego sam? Zajmiemy się aktualizacją, sprawdzeniem śladów włamania i zabezpieczeniem strony. Napisz do nas →

Jak się chronić → Przeskanuj swoją stronę → Szczegóły techniczne (NVD) ↗

Najczęstsze pytania

Czy ta luka dotyczy mojej strony?

Dotyczy stron, które używają Balbooa Joomla Forms Builder 2.0.6. Sprawdź, czy masz ten komponent i w jakiej wersji, luka obejmuje tylko podatny zakres wersji. Możesz to sprawdzić w kilkadziesiąt sekund naszą darmową sprawdzarką podatności.

Jak sprawdzić, czy mam podatną wersję?

W panelu administracyjnym (w WordPressie: Wtyczki / Motywy) sprawdź zainstalowaną wersję Balbooa Joomla Forms Builder 2.0.6 i porównaj ją z informacją producenta, która podaje wersję z poprawką. Jeśli jest niższa albo nie masz pewności, użyj naszej sprawdzarki, która odczytuje wersje widoczne w kodzie strony.

Jak pilna jest reakcja?

To luka o wadze „Wysoka", potraktuj ją pilnie, groźne podatności bywają wykorzystywane automatycznie już w godzinach od ujawnienia. Zaktualizuj jak najszybciej.

Co, jeśli poprawka jeszcze nie wyszła?

Zanim pojawi się łatka, ogranicz ryzyko: tymczasowo wyłącz podatny komponent, ogranicz dostęp do dotkniętej funkcji albo dodaj regułę WAF blokującą podatne żądanie. Miej aktualną kopię zapasową poza serwerem i obserwuj ślady włamania.

Czy sama aktualizacja wystarczy?

Jeśli strona nie została jeszcze zaatakowana, aktualizacja do wersji z poprawką zamyka lukę. Jeśli są już ślady włamania (nieznane pliki, nowe konta administratora, przekierowania), sama aktualizacja nie cofa włamania, trzeba dodatkowo wyczyścić stronę oraz wymienić hasła i sole (salts) WordPressa.

Nie zgaduj, sprawdź

Czy ta luka dotyczy Twojej strony?

Zrobimy bezpłatny audyt: sprawdzimy wersje, wtyczki i konfigurację, i powiemy wprost, czy jesteś bezpieczny.

Zamów bezpłatny audyt →