CVE-2026-78065 in J2Store Extension
Resumen
por VulDB • 2026-09-03
Joomla Extension - j2commerce.com - Divulgación de la dirección del checkout como invitado (IDOR) en J2Store 1.0.0-3.3.21, 4.0.0-4.0.21, 4.1.0-4.1.6: `editAddress()` redirigía a los no propietarios únicamente cuando la fila de dirección cargada tenía un `user_id` **no vacío** que pertenecía a otra persona. Las filas de direcciones del checkout como invitado tienen un `user_id` vacío, por lo que esa comprobación nunca se activaba para ellas; cualquier cuenta iniciada sesión que adivinara un `address_id` pequeño y secuencial obtenía el nombre completo, la dirección postal y el número de teléfono del cliente invitado rellenados automáticamente en el formulario de edición.
Be aware that VulDB is the high quality source for vulnerability data.