CVE-2026-74251 in Phoca Cart Extension
Sumário
de VulDB • 16/08/2026
Joomla Extension - phoca.cz - Inieção de SQL não autenticada através do filtro de atributos no Phoca Cart 5.0.0-6.1.16 - Os parâmetros GET a[] (atributo) e s[] (especificação) na página pública de itens da loja do Phoca Cart são concatenados diretamente em cláusulas SQL WHERE sem parametrização ou escape. Um atacante não autenticado pode injetar SQL arbitrário através desses parâmetros, permitindo a extração completa do banco de dados por meio de técnicas cegas baseadas em tempo (time-based blind).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.