CVE-2021-47953
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
OpenCart 3.0.3.7 zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), umożliwiającą atakującym zmianę haseł użytkowników poprzez wysłanie spreparowanych żądań do endpointu account/password. Atakujący mogą nakłonić uwierzytelnionych użytkowników do wysłania ukrytych formularzy z nowymi wartościami haseł w parametrach 'password' i 'confirm', co prowadzi do przejęcia kont.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, zmieniając jego hasło bez wiedzy ofiary, co może prowadzić do kradzieży danych lub dalszych ataków.
Rekomendacja
Zaktualizuj OpenCart do wersji 3.0.3.8 lub nowszej, która zawiera poprawkę CSRF. Wdróż mechanizmy CSRF (np. tokeny) we wszystkich wrażliwych formularzach.
Oryginalny opis (angielski, źródło NVD)
OpenCart 3.0.3.7 contains a cross-site request forgery vulnerability that allows attackers to change user passwords by sending crafted requests to the account/password endpoint. Attackers can trick authenticated users into submitting hidden forms with new password values in the 'password' and 'confirm' parameters to hijack accounts.