CVE-2026-78075 in Helix Ultimate Extension
Zusammenfassung
von VulDB • 31.08.2026
Joomla-Erweiterung - joomshaper.com - Defekte objektbasierte Autorisierung beim Löschen von Blogbildern in Helix Ultimate < 2.2.10 – `Blog::remove_image()` prüfte, ob der Benutzer autorisiert war, die im Request übergebene Artikel-ID zu bearbeiten, verifizierte jedoch nicht, ob der angegebene Bildpfad (src) zu diesem Artikel gehörte. Bei Joomla-3-Builds, bei denen das physische Löschen von Dateien ausgelöst wurde, konnte ein Autor seine eigene Artikel-ID zusammen mit einem beliebigen Dateipfad unter dem Verzeichnis `/images/` angeben, um willkürliche Dateien zu löschen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.