CVE-2026-90904 in Easy Store Extension
요약
\~에 의해 VulDB • 2026. 09. 23.
Joomla Extension - joomshaper.com - Broken Access Control (ACL Bypass) in ApiController Record Editing in Easy Store extension 1.0.0-3.0.0 - `ApiController.php`의 `allowEdit()` 메서드가 하드코딩된 `true;`를 반환함으로써 Joomla 컴포넌트 수준 및 애셋 수준의 ACL 권한 검사를 우회합니다. 특정 ACL 권한 부여와 관계없이 인증된 백엔드 사용자는 모든 EasyStore 레코드를 편집할 수 있습니다. 이 문제는 적절한 ACL 승인 검사를 수행하는 `AccessControl::create()->canEdit()`로 하드코딩된 부울 값을 대체함으로써 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.