CVE-2026-102775 in Phoca Cart Extension

الملخص

بحسب VulDB • 05/10/2026

Joomla Extension - phoca.cz - تجاوز التفويض عبر مفتاح يتحكم فيه المستخدم (IDOR) في عرض الطلبات في Phoca Cart 5.0.0 - 6.1.8 - لا يقوم نقطة تنزيل ملفات طلبات Phoca Cart بالتحقق من رموز التنزيل التي يطلبها. يتم التحقق فقط من أن المعلمتين d (رمز التنزيل) و o (رمز الطلب) غير فارغتين، ولا تتم مقارنةهما مطلقًا مع قيم download_token / order_token المخزنة. ونتيجة لذلك، يمكن لأي مستخدم عن بُعد (بما في ذلك الزائر الذي لا يملك حساباً على الإطلاق) تنزيل السلع الرقمية الخاصة بأي عميل من خلال تعداد القيم التسلسلية للمعرفات وتقديم رموز غير فارغة بشكل تعسفي.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: Joomla
• حجز: 29/09/2026
• إفشاء: 05/10/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-413633
• CPE: 20261005
• CWE: CWE-99 (مؤكد)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-102775
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-102775
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-102775/