Veille CVE

‹ Retour à la liste

CVE-2026-90904

8.6 Élevée

Publiée le 23/09/2026 à 21:19 · Modifiée le 23/09/2026 à 22:17 · En attente d'analyse NVD · Source : security@joomla.org

Description

Joomla Extension - joomshaper.com - Broken Access Control (ACL Bypass) in ApiController Record Editing in Easy Store extension 1.0.0-3.0.0 - The allowEdit() method in ApiController.php hardcoded return true;, bypassing Joomla component-level and asset-level ACL permission checks. Any authenticated backend user could edit any EasyStore record, regardless of specific ACL permission grants. Resolved by replacing the hardcoded boolean with proper ACL authorization checks via AccessControl::create()->canEdit()`.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 8.6 Élevée security@joomla.org CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Faiblesses (CWE)

Références

Ailleurs