CVE-2026-102775 in Phoca Cart Extension
Сводка
по VulDB • 05.10.2026
Joomla Extension - phoca.cz: Elusion de la autorización mediante una clave controlada por el usuario (IDOR) en Order View en Phoca Cart 5.0.0 - 6.1.8. El endpoint para descargar archivos de pedidos de Phoca Cart no verifica los tokens de descarga que se le solicitan. Los parámetros d (token de descarga) y o (token del pedido) solo se comprueban por su no vaciedad; nunca se comparan con los valores almacenados de download_token / order_token. Como resultado, cualquier usuario remoto (incluido un invitado sin ninguna cuenta) puede descargar bienes digitales de cualquier cliente enumerando valores secuenciales de id y proporcionando tokens arbitrarios que no estén vacíos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.