CVE-2026-102775 in Phoca Cart Extension
要約
〜によって VulDB • 2026年10月05日
Joomla Extension - phoca.cz - Phoca Cart 5.0.0 ～ 6.1.8 の Order View における、ユーザー制御可能なキーによる認証回避（IDOR）: Phoca Cart の注文ファイルダウンロードエンドポイントは、要求されるダウンロードトークンを検証しない。d (download token) パラメータと o (order token) パラメータは空でないかどうかのみがチェックされ、保存された download_token / order_token の値と比較されることはない。その結果、アカウントを一切持たないゲストを含む任意のリモートユーザーは、連続する ID 値を列挙し、適当な非空トークンを指定することで、いかなる顧客のデジタル商品もダウンロードできる。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.