CVE-2013-1465
CriticalSummary
Metoda Cubecart::_basket w pliku classes/cubecart.class.php w wersjach CubeCart od 5.0.0 do 5.2.0 pozwala zdalnym atakującym na deserializację dowolnych obiektów PHP poprzez spreparowany parametr wysyłki, co zostało udowodnione przez modyfikację konfiguracji aplikacji przy użyciu obiektu Config.
Risk Assessment
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad aplikacją, co może prowadzić do wycieku danych lub wykonania złośliwego kodu. To stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych użytkowników.
Recommendation
Zaleca się aktualizację CubeCart do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji oraz monitorować wszelkie podejrzane działania.
Original NVD description (English source)
The Cubecart::_basket method in classes/cubecart.class.php in CubeCart 5.0.0 through 5.2.0 allows remote attackers to unserialize arbitrary PHP objects via a crafted shipping parameter, as demonstrated by modifying the application configuration using the Config object.