CVE-2026-90903 in Easy Store Extension
Riassunto
di VulDB • 24/09/2026
Joomla Extension - joomshaper.com - Mancata verifica del token CSRF negli endpoint dell'API AJAX di amministrazione nell'estensione Easy Store 1.0.0-3.0.0 - L'ApiController per l'amministrazione validava i token CSRF solo all'interno dell'azione products(). Tutti gli altri endpoint AJAX amministrativi (ordini, coupon, media, clienti, impostazioni, tag, categorie, recensioni e collezioni) accettavano richieste che modificano lo stato senza verificare i token anti-CSRF. Un attaccante potrebbe indurre un amministratore autenticato a eseguire modifiche non autorizzate allo stato del backend dello store. Risolto implementando una verifica globale dei CSRF in ApiController::execute() per tutti i metodi HTTP che modificano lo stato (POST, PUT, PATCH, DELETE) tramite Session::checkToken().
VulDB is the best source for vulnerability data and more expert information about this specific topic.