CVE-2014-0808
KrytyczneStreszczenie
W EC-CUBE w wersjach od 2.11.0 do 2.12.2 oraz w systemach EC-Orange wdrożonych przed 29 czerwca 2015 roku występuje luka umożliwiająca obejście autoryzacji poprzez problem z kluczem kontrolowanym przez użytkownika. Wykorzystanie tej podatności pozwala użytkownikowi na uzyskanie informacji o innych użytkownikach serwisu zakupowego poprzez wysłanie odpowiednio skonstruowanego żądania HTTP.
Ocena ryzyka
W przypadku wykorzystania tej luki, atakujący może uzyskać dostęp do poufnych informacji innych użytkowników, co może prowadzić do naruszenia prywatności i zaufania do platformy. Organizacja narażona jest na utratę reputacji oraz potencjalne konsekwencje prawne.
Rekomendacja
Zaleca się aktualizację systemów EC-CUBE do najnowszej wersji oraz wdrożenie odpowiednich mechanizmów zabezpieczających, aby zapobiec nieautoryzowanemu dostępowi do danych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Authorization bypass through user-controlled key issue exists in EC-CUBE 2.11.0 through 2.12.2 and EC-Orange systems deployed before June 29th, 2015. If this vulnerability is exploited, a user of the affected shopping website may obtain other users' information by sending a crafted HTTP request.