CVE-2026-105605

ŚrednieCVSS 5.3

Opublikowano: 02/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

Rozszerzenie Joomla DJ-Classifieds w wersji przed 3.11.3 zawiera podatność IDOR w funkcji „duplicate my ad” formularza nowego ogłoszenia. Ogłoszenie jest ładowane po surowym numerycznym ID bez sprawdzenia, czy należy do żądającego użytkownika oraz czy jest opublikowane, zablokowane lub w wersji roboczej, co pozwala każdemu zalogowanemu użytkownikowi odczytać pełną treść cudzego ogłoszenia, w tym dane kontaktowe i cenę.

Ocena ryzyka

Każdy zalogowany użytkownik może uzyskać dostęp do danych osobowych i kontaktowych sprzedawców oraz treści niepublikowanych ogłoszeń. Stanowi to naruszenie prywatności i może prowadzić do nadużyć danych kontaktowych.

Rekomendacja

Zaktualizuj DJ-Classifieds do wersji 3.11.3 lub nowszej. Do czasu aktualizacji rozważ wyłączenie funkcji „duplicate my ad”.

Inne podatności w DJ-Classifieds

CVE-2026-61424Krytyczne
Rozszerzenie Joomla DJ-Classifieds w wersji poniżej 3.11.2 jest podatne na nieuwierzytelnione przesyłanie plików. Atakujący bez logowania może przesłać dowolny plik, co prowadzi do pełnego zdalnego wykonania kodu (RCE).

Oryginalny opis (angielski, źródło NVD)

Joomla Extension - dj-extensions.com - IDOR vulnerability allowing cross-account ad access in DJ-Classifieds < 3.11.3 - A “duplicate my ad” convenience feature on the new-ad form (site/models/additem.php) loaded an existing advert by its raw numeric ID with no check that the ad belonged to the requesting user, and no check of whether it was published, blocked, or still a pending draft. Any logged-in user, regardless of role, could request the new-ad form with another ad’s ID and have that ad’s full content, including the seller’s phone number, address, email, and price, rendered into the response, even for ads that had never been published. Advert IDs are small sequential integers.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS