CVE-2022-33077
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W nopcommerce w wersji 4.50.2 wykryto problem z kontrolą dostępu, który umożliwia atakującym dowolną modyfikację adresu dowolnego klienta za pomocą endpointu addressedit.
Ocena ryzyka
Atakujący może zmienić adres dowolnego użytkownika, co może prowadzić do przejęcia konta, kradzieży tożsamości lub dostarczenia zamówień pod fałszywy adres.
Rekomendacja
Należy natychmiast zaktualizować nopcommerce do najnowszej wersji, która zawiera poprawkę dla tego problemu, oraz wdrożyć odpowiednie mechanizmy autoryzacji dla endpointu addressedit.
Inne podatności w nopcommerce
Zobacz wszystkie- CVE-2021-42193Średnie
W nopCommerce 4.40.3 odkryto podatność na atak XSS w polu nazwy produktu na stronie /Admin/Product/Edit/[id]. Za każdym razem, gdy użytkownik przegląda produkt w sklepie, ładunek XSS jest wykonywany.
- CVE-2022-27461Średnie
W nopCommerce 4.50.1 wykryto podatność na otwarte przekierowanie (open redirect). Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co prowadzi do uwierzytelnienia na stronie nopCommerce i przekierowania na zewnętrzną, złośliwą witrynę.
Oryginalny opis (angielski, źródło NVD)
An access control issue in nopcommerce v4.50.2 allows attackers to arbitrarily modify any customer's address via the addressedit endpoint.