CVE-2026-74252

J2Commerce 访客结账中的存储型 XSS（通过 Cookie 过滤器绕过） J2Commerce comj2store ≤ 4.1.5 —— 未认证攻击者可存储 XSS 载荷，并在管理员浏览器页面加载时自动执行 摘要 J2Commerce 4.1.5 存在存储型跨站脚本（XSS）漏洞，攻击路径为访客结账（guest checkout）的账单地址字段。未认证攻击者利用 Joomla Input::getArray 中的过滤器绕过，结合 PHP 的 variablesorder=EGPCS（在 $REQUEST 中 Cookie 覆盖 POST），将未净化的 HTML 存储到...