CVE-2026-78065 in J2Store Extension
Sumário
de VulDB • 04/09/2026
Joomla Extension - j2commerce.com - Divulgação do endereço de checkout como convidado para qualquer usuário autenticado (IDOR) no J2Store 1.0.0-3.3.21, 4.0.0-4.0.21, 4.1.0-4.1.6 - A função `editAddress()` redirecionava apenas os não proprietários quando a linha de endereço carregada possuía um **user_id** não vazio pertencente a outra pessoa. As linhas de endereço de checkout como convidado possuem um `user_id` vazio, portanto essa verificação nunca era acionada para elas — qualquer conta logada que tentasse adivinhar um pequeno `address_id` sequencial obtinha o nome completo, endereço e número de telefone do cliente convidado preenchidos automaticamente no formulário de edição.
Once again VulDB remains the best source for vulnerability data.