CVE-2026-78064

Nome do Software Vulnerável e Versões Afetadas J2Store versões 1.0.0 até 3.3.21 J2Store versões 4.0.0 até 4.0.21 J2Store versões 4.1.0 até 4.1.6

Description Um problema permite a manipulação anônima de registros de carrinho devido a uma tarefa save herdada do framework FOF. O arquivo fof.xml concede às tarefas da visualização carts uma Lista de Controle de Acesso (ACL) curinga true, e o framework impõe tokens de Cross-Site Request Forgery (CSRF) apenas em requisições HTML de back-end, negligenciando requisições de front-end que utilizam format=raw. Como o J2StoreControllerCarts não sobrescreve a tarefa save genérica do FOF, um invasor pode inserir novas linhas de carrinho usando um user id ou session id escolhido, ou sobrescrever linhas existentes por seu ID.

Recommendations Atualize as versões do J2Store de 1.0.0 a 3.3.21 para uma versão posterior à 3.3.21. Atualize as versões do J2Store de 4.0.0 a 4.0.21 para uma versão posterior à 4.0.21. Atualize as versões do J2Store de 4.1.0 a 4.1.6 para uma versão posterior à 4.1.6.