CVE-2026-67363

Pre-auth Payment Amount Tampering in Balbooa Forms < 2.4.3.2

HIGH Balbooa Forms Composant Source officielle

Description

Joomla Extension - balbooa.com - Pre-auth Payment Amount Tampering in Balbooa Forms < 2.4.3.2 - The stripeCharges and payAuthorize endpoints accept the charge total from a client-controlled request parameter and forward it to the payment gateway without recomputing it from the form's configured product prices. Neither endpoint enforces authentication or CSRF checks. An unauthenticated attacker can purchase any priced item for an arbitrary amount (e.g., $0.01), and can additionally forge line items, quantities, and shipping.

Sévérité

7.7 Élevée · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Score retenu : NVD

Source	Sévérité d'origine	CVSS
NVD	HIGH	7.7 (v4.0)

Produit et versions

Produit: Balbooa Forms
Type: Composant
Corrigée dans: Non précisée
Publiée: 19/08/2026
Modifiée: 26/08/2026
CWE: CWE-472, CWE-602

Versions concernées

com_baforms — 1.0.0 – 2.4.3.1

Sources

NVD CNA Joomla CVE-2026-67363 vu il y a 2 h

Ces informations proviennent des sources ci-dessus ; CVE Oyer n'y ajoute aucune interprétation.

Historique

Détectée via nvd26/09/2026 09:34 UTC

RéférencesJSON

www.balbooa.comNVD