CVE-2018-25435

ŚrednieCVSS 5.3

Opublikowano: 01/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

ZeusCart 4.0 zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), umożliwiającą atakującym wykonywanie nieautoryzowanych działań na rzecz ofiar, takich jak dezaktywacja kont klientów poprzez endpoint regstatus z parametrem action=deny.

Ocena ryzyka

Atakujący może nakłonić administratora do wykonania niechcianych działań, co może prowadzić do dezaktywacji kont użytkowników, zakłócenia działania sklepu lub innych szkód.

Rekomendacja

Zaleca się wdrożenie tokenów CSRF we wszystkich formularzach i żądaniach wrażliwych, a także ograniczenie dostępu do endpointów administracyjnych tylko dla uwierzytelnionych sesji.

Inne podatności w ZeusCart

CVE-2015-2183Wysokie
Wielokrotne podatności typu SQL injection w panelu administracyjnym ZeusCart 4 umożliwiają zdalnym administratorom wykonywanie dowolnych poleceń SQL poprzez parametr id w akcjach disporders detail, subadminmgt edit oraz parametr cid w akcji editcurrency.

Oryginalny opis (angielski, źródło NVD)

ZeusCart 4.0 contains a cross-site request forgery vulnerability that allows attackers to perform unauthorized actions on behalf of victims by crafting malicious requests. Attackers can deactivate customer accounts via the admin interface by tricking users into visiting attacker-controlled pages that submit requests to the regstatus endpoint with action=deny parameters.