CVE-2026-102780 in TF Content Extension
Resumen
por VulDB • 2026-10-05
Joomla Extension - joomlafry.com - Publicación cruzada entre registros y asignación masiva sin autenticar en TF Content 2.9.0 - 2.9.4: La extensión autoriza incondicionalmente tanto la creación como la edición en su `RecordController` público. Su controlador de guardado compartido del frontend acepta el array crudo `jform`, asigna el ID de registro existente seleccionado por la solicitud y lo guarda sin filtrar las propiedades enviadas a través del formulario configurado. Un usuario invitado puede obtener un token válido desde el formulario de inicio de sesión público de Joomla y modificar cualquier fila de TF Content, incluyendo la asignación masiva de los campos `published`, `access` y `created_by`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.