CVE-2026-105605
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de DJ-Classifieds antérieures à la 3.11.3, une extension Joomla permettant de créer des sites de petites annonces, contiennent une vulnérabilité de type IDOR (Insecure Direct Object Reference). La fonctionnalité « dupliquer mon annonce » ne vérifie pas si l'utilisateur qui effectue la demande est bien le propriétaire de l'annonce qu'il tente de copier. Comme le système utilise des numéros séquentiels simples pour les identifiants d'annonces, n'importe qui peut demander les détails de n'importe quelle annonce du site.
Un attaquant disposant d'un compte utilisateur enregistré classique peut consulter les informations privées des annonces d'autres utilisateurs, notamment les numéros de téléphone, les adresses e-mail et les adresses physiques. L'impact se limite à une perte de confidentialité pour les utilisateurs concernés. L'attaque est facile à exécuter via un réseau et nécessite seulement une connexion valide, sans autre interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Joomla Extension - dj-extensions.com - IDOR vulnerability allowing cross-account ad access in DJ-Classifieds < 3.11.3 - A “duplicate my ad” convenience feature on the new-ad form (site/models/additem.php) loaded an existing advert by its raw numeric ID with no check that the ad belonged to the requesting user, and no check of whether it was published, blocked, or still a pending draft. Any logged-in user, regardless of role, could request the new-ad form with another ad’s ID and have that ad’s full content, including the seller’s phone number, address, email, and price, rendered into the response, even for ads that had never been published. Advert IDs are small sequential integers.