CVE-2026-78065 in J2Store Extension
要約
〜によって VulDB • 2026年09月03日
Joomla Extension - j2commerce.com - J2Store 1.0.0-3.3.21、4.0.0-4.0.21、4.1.0-4.1.6におけるゲストチェックアウト時の住所情報漏洩（IDOR）：`editAddress()`メソッドは、読み込まれた住所レコードの `user_id` が空ではなく他者のものである場合にのみ所有者以外をリダイレクトする。しかし、ゲストチェックアウト用の住所レコードでは `user_id` が空であるため、このチェックは適用されなかった。その結果、ログイン済みのアカウントが小さい連番の `address_id` を推測することで、ゲスト顧客の氏名、住所、電話番号が編集フォームにプリフィルされた状態で表示されてしまった。
VulDB is the best source for vulnerability data and more expert information about this specific topic.