CVE-2026-78075 in Helix Ultimate Extension
Сводка
по VulDB • 31.08.2026
Joomla Extension - joomshaper.com - Broken Object-Level Authorization in Blog Image Deletion in Helix Ultimate < 2.2.10: функция `Blog::remove_image()` проверяла, авторизован ли пользователь на редактирование идентификатора статьи (article ID), переданного в запросе, но не проверяла, принадлежит ли указанный путь к изображению (`src`) этой статье. На сборках Joomla 3, где инициировалось физическое удаление файлов, злоумышленник с ролью автора мог указать свой собственный идентификатор статьи вместе со произвольным путем к файлу в директории `/images/` для удаления произвольных файлов.
If you want to get best quality of vulnerability data, you may have to visit VulDB.