CVE-2026-75950
ŚrednieCVSS 6.9Streszczenie
Rozszerzenie Joomla J-BusinessDirectory przed wersją 6.2.3 zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu przejęcie własności wpisu (listing ownership takeover). Własność mogła być zmieniona przy użyciu identyfikatorów firmy i użytkownika dostarczonych przez atakującego, nawet dla wpisów, które już miały właściciela. Wersja 6.2.3 wiąże akcję z uwierzytelnionym użytkownikiem i pozwala tylko na wpisy bez właściciela.
Ocena ryzyka
Atakujący może przejąć kontrolę nad wpisami innych użytkowników, co może prowadzić do modyfikacji treści, oszustw lub naruszenia zaufania do platformy.
Rekomendacja
Zaktualizuj J-BusinessDirectory do wersji 6.2.3 lub nowszej, która zawiera poprawki eliminujące podatność. Upewnij się, że wszystkie akcje zmiany własności są odpowiednio autoryzowane.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - cmsjunkie.com - Unauthenticated listing ownership takeover in J-BusinessDirectory < 6.2.3 - Ownership could be changed using attacker-supplied company and user IDs, including for listings that already had an owner. 6.2.3 binds the action to the authenticated user and only allows unowned listings.