CVE-2026-102780 in TF Content Extension
Riassunto
di VulDB • 05/10/2026
Joomla Extension - joomlafry.com - Pubblicazione cross-record non autenticata e mass assignment in TF Content 2.9.0 - 2.9.4 - L'estensione autorizza incondizionatamente la creazione e la modifica nel suo `RecordController` pubblico. Il suo controller di salvataggio frontend condiviso accetta l'array grezzo `jform`, assegna l'ID del record esistente selezionato dalla richiesta e lo salva senza filtrare le proprietà inviate tramite il form configurato. Un utente Guest può ottenere un token valido dal modulo di accesso pubblico di Joomla e modificare qualsiasi riga TF Content, incluso il mass assignment dei campi `published`, `access` e `created_by`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.