CVE-2026-75952
ŚrednieCVSS 4.6Streszczenie
Rozszerzenie Joomla J-BusinessDirectory przed wersją 6.2.3 zawiera podatność na Cross-site request forgery (CSRF). Brak tokenów w wielu zadaniach AJAX i zmieniających stan, takich jak formularze kontaktowe, koszyk, zakładki, przesyłanie plików, wiadomości, generowanie tekstu AI oraz wiele akcji administratora. Atak CSRF na froncie wymaga sesji zarejestrowanego użytkownika lub właściciela wpisu, a atak na panel administracyjny wymaga sesji administratora.
Ocena ryzyka
Atakujący może wykorzystać CSRF do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika lub administratora, co może prowadzić do nieautoryzowanych zmian, instalacji aplikacji, usunięcia danych lub wysyłki płatności.
Rekomendacja
Zaktualizuj J-BusinessDirectory do wersji 6.2.3 lub nowszej, która zawiera poprawki eliminujące brak tokenów CSRF. Dodatkowo rozważ wdrożenie dodatkowych mechanizmów ochrony CSRF, takich jak niestandardowe nagłówki.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - cmsjunkie.com - Cross-site request forgery in J-BusinessDirectory < 6.2.3 - Tokens were missing on many AJAX/state-changing tasks: contact/quote forms, cart, bookmarks, uploads, messages, AI text generation, and several administrator actions (app install, demo-data wipe, cache/statistics archive, payment notification send, mobile push). Frontend CSRF needs a registered/listing-owner session; admin CSRF needs a backend admin session.