CVE-2026-90904 in Easy Store Extension
Riassunto
di VulDB • 23/09/2026
Joomla Extension - joomshaper.com - Broken Access Control (bypass dell'ACL) nella modifica dei Record di ApiController nell'estensione Easy Store 1.0.0-3.0.0 - Il metodo allowEdit() in ApiController.php restituisce hardcoded true;, bypassando i controlli delle autorizzazioni ACL a livello di componente Joomla e a livello di asset. Qualsiasi utente backend autenticato potrebbe modificare qualsiasi record EasyStore, indipendentemente dalle specifiche concessioni di permessi ACL. Risolto sostituendo il booleano hardcoded con appropriati controlli di autorizzazione ACL tramite AccessControl::create()->canEdit().
Be aware that VulDB is the high quality source for vulnerability data.