CVE-2026-67359

总结

Joomla 扩展 - j2commerce.com - 订单内容泄露 J2Store 1.0.0-3.3.20、4.0.0-4.0.20、4.1.0-4.1.5 - 未经身份验证的访问者可以将任意 order_id 作为查询参数提供，从而渲染该订单的完整结账确认页面，包括订单项、价格和总计。

来源

• CVE-J2store-2026PoC

  J2Store CVE-2026-67358–67362 的 PoC（J2Commerce 安全公告，2026 年 8 月）