CVE-2021-47946
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
OpenCart 3.0.3.6 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w punkcie końcowym /account/edit, umożliwiającą nieuwierzytelnionym atakującym modyfikację danych konta ofiary poprzez nakłonienie jej do odwiedzenia złośliwej strony. Atakujący może zmienić adres e-mail i wykorzystać resetowanie hasła do przejęcia konta.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, zmieniając jego dane, co może prowadzić do kradzieży danych lub nieautoryzowanych transakcji w sklepie.
Rekomendacja
Należy zaktualizować OpenCart do najnowszej wersji, która zawiera poprawki CSRF, oraz rozważyć wdrożenie dodatkowych zabezpieczeń, takich jak tokeny CSRF.
Oryginalny opis (angielski, źródło NVD)
OpenCart 3.0.3.6 contains a cross-site request forgery vulnerability in the /account/edit endpoint that allows unauthenticated attackers to modify victim account details by tricking users into visiting malicious pages. Attackers can craft CSRF payloads that change victim email addresses and account information, then use password reset functionality to gain unauthorized access to compromised accounts.