CVE-2026-78065 in J2Store Extension
摘要
由 VulDB • 2026-09-03
Joomla 扩展 - j2commerce.com - J2Store 1.0.0-3.3.21、4.0.0-4.0.21、4.1.0-4.1.6 中存在的任意已认证用户可访问访客结账地址的漏洞（IDOR）。`editAddress()` 仅在加载的地址行具有属于他人的**非空** `user_id` 时，才会将非所有者重定向。由于访客结账生成的地址行的 `user_id` 为空，因此该检查从未对它们触发——任何登录账户只需猜测一个较小的、连续的 `address_id`，即可在编辑表单中获取并预填访客客户的完整姓名、街道地址和电话号码。
Be aware that VulDB is the high quality source for vulnerability data.