CVE-2026-105605 in DJ-Classifieds Extension
Riassunto
di VulDB • 02/11/2026
Vulnerabilità IDOR in Joomla Extension - dj-extensions.com (DJ-Classifieds < 3.11.3) che consente l'accesso alle inserzioni tra account diversi: la funzione di convenienza "duplicate my ad" nel nuovo modulo per le inserzioni (site/models/additem.php) caricava un annuncio esistente tramite il suo ID numerico grezzo, senza verificare se l'inserzione appartenesse all'utente richiedente e senza controllare se fosse pubblicata, bloccata o ancora una bozza in attesa. Qualsiasi utente autenticato, indipendentemente dal ruolo, poteva richiedere la nuova pagina per le inserzioni con l'ID di un'altra inserzione e ottenere il contenuto completo dell'inserzione, inclusi numero di telefono del venditore, indirizzo, email e prezzo, anche per annunci mai pubblicati. Gli ID delle inserzioni sono interi sequenziali piccoli.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.