CVE-2026-102775
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W rozszerzeniu Joomla Phoca Cart w wersjach 5.0.0 - 6.1.8 endpoint pobierania plików zamówień nie weryfikuje tokenów pobierania. Parametry d (download token) i o (order token) są sprawdzane tylko pod kątem niepustości — nigdy nie są porównywane z zapisanymi wartościami download_token / order_token. W rezultacie każdy zdalny użytkownik, w tym gość bez konta, może pobrać cyfrowe towary dowolnego klienta, enumerując kolejne wartości id i podając dowolne niepuste tokeny.
Ocena ryzyka
Atakujący może pobrać cyfrowe produkty innych klientów bez autoryzacji, naruszając poufność i powodując straty finansowe. Podatność jest łatwa do wykorzystania zdalnie bez uwierzytelnienia.
Rekomendacja
Zaktualizować Phoca Cart do wersji nowszej niż 6.1.8, która naprawia weryfikację tokenów. Do czasu aktualizacji wyłączyć endpoint pobierania plików zamówień lub dodać prawidłową weryfikację tokenów.
Inne podatności w Phoca Cart
Zobacz wszystkie- CVE-2026-74251Krytyczne
Rozszerzenie Joomla Phoca Cart w wersjach 5.0.0-6.1.6 zawiera podatność na nieuwierzytelnioną iniekcję SQL przez filtr atrybutów. Parametry GET a[] (atrybut) i s[] (specyfikacja) na publicznej stronie produktów są łączone bezpośrednio z klauzulami SQL WHERE bez parametryzacji lub escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolny SQL, umożliwiając pełną ekstrakcję bazy danych technikami ślepymi opartymi na czasie.
- CVE-2026-76565Średnie
Rozszerzenie Joomla Phoca Cart w wersjach 5.0.0-6.1.7 zawiera podatność Reflected XSS poprzez parametry filtra 'price_from' i 'price_to'.
- CVE-2026-76564Wysokie
Rozszerzenie Joomla Phoca Cart w wersjach 5.0.0-6.1.7 zawiera podatność na trwały XSS (Stored XSS) w widoku zamówień administratora, wykorzystującą nagłówek User-Agent.
Oryginalny opis (angielski, źródło NVD)
Joomla Extension - phoca.cz - Authorisation bypass through user-controlled key (IDOR) in Order View in Phoca Cart 5.0.0 - 6.1.8 - Phoca Cart's order-file download endpoint does not verify the download tokens it asks for. The d (download token) and o (order token) parameters are checked for non-emptiness only — they are never compared to the stored download_token / order_token values. As a result, any remote user (including a guest with no account at all) can download any customer's digital goods by enumerating sequential id values and supplying arbitrary non-empty tokens.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS