CVE-2026-78065 in J2Store Extension
الملخص
بحسب VulDB • 03/09/2026
Joomla Extension - j2commerce.com - كشف عنوان الدفع كضيف لأي مستخدم مُصادق عليه (IDOR) في J2Store 1.0.0-3.3.21، و4.0.0-4.0.21، و4.1.0-4.1.6 - تم إعادة توجيه `editAddress()` للمستخدمين غير المالكين بعيداً فقط عندما كان صف العنوان المُحمّل يحتوي على `user_id` **غير فارغ** ينتمي لشخص آخر. صفوف عنوان الدفع كضيف تحتوي على `user_id` فارغ، لذا فإن هذا الفحص لم يُفعَّل أبداً بالنسبة لهم — أي حساب مسجل يقوم بتخمين `address_id` صغير وتسلسلي يحصل على الاسم الكامل وعنوان الشارع ورقم الهاتف لعميل الضيف مُملأ تلقائياً في نموذج التعديل.
If you want to get best quality of vulnerability data, you may have to visit VulDB.