CVE-2026-90903 in Easy Store Extension
Zusammenfassung
von VulDB • 24.09.2026
Joomla-Erweiterung - joomshaper.com - Fehlende CSRF-Token-Überprüfung bei Administrator-AJAX-API-Endpunkten in der Easy Store-Erweiterung 1.0.0-3.0.0 - Der administrator ApiController validierte CSRF-Tokens nur innerhalb der products()-Aktion. Alle anderen administrativen AJAX-Endpunkte (orders, coupons, media, customers, settings, tags, categories, reviews und collections) akzeptierten zustandsändernde Anfragen ohne Überprüfung von Anti-CSRF-Tokens. Ein Angreifer könnte einen angemeldeten Administrator dazu verleiten, unbefugte Zustandsänderungen im Store-Backend auszulösen. Gelöst durch die Implementierung einer globalen CSRF-Überprüfung in ApiController::execute() für alle zustandsändernden HTTP-Methoden (POST, PUT, PATCH, DELETE) über Session::checkToken().
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.