CVE-2025-10423
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W newbee-mall 1.0 funkcja mallKaptcha w pliku /common/mall/kaptcha generuje captchę, którą można odgadnąć. Atak można przeprowadzić zdalnie, ma on wysoką złożoność i jest trudny do wykorzystania, a exploit jest publicznie dostępny.
Ocena ryzyka
Odgadywalna captcha ułatwia automatyzację ataków, np. masowe rejestracje lub próby logowania. Wysoka złożoność ogranicza ryzyko, ale exploit jest publiczny.
Rekomendacja
Zastąp mechanizm captcha rozwiązaniem odpornym na zgadywanie lub wdróż poprawkę. Monitoruj nietypowe wzorce żądań do punktu końcowego captcha.
Inne podatności w newbee-mall
Zobacz wszystkie- CVE-2026-26219Krytyczne
Podatność w newbee-mall polega na przechowywaniu haseł użytkowników za pomocą niesolonego algorytmu MD5. Brak per-użytkowniczych soli i kontroli kosztów obliczeniowych umożliwia atakującym szybkie odzyskanie haseł w postaci jawnej po uzyskaniu skrótów z bazy danych lub kopii zapasowych.
- CVE-2026-26218Krytyczne
Podatność w projekcie newbee-mall polega na tym, że skrypt inicjalizacyjny bazy danych zawiera predefiniowane konta administratorów z domyślnym, łatwym do odgadnięcia hasłem. Jeśli wdrożenie używa tego skryptu i nie zmieni domyślnych danych logowania, nieuwierzytelniony atakujący może zalogować się jako administrator i przejąć pełną kontrolę nad aplikacją.
- CVE-2026-105573Średnie
W newbee-ltd newbee-mall do wersji 2.7.5 wykryto podatność w pliku /jshERP-boot/accountHead/updateAccountHeadAndDetail, w komponencie obsługi ilości w koszyku. Manipulacja argumentem goodsCount prowadzi do błędów logiki biznesowej. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-94045Niskie
W aplikacji newbee-mall (do wersji 1.0.0) wykryto podatność typu cross-site scripting (XSS) w pliku controller/common/UploadController.java, w komponencie odpowiedzialnym za zapis towarów. Manipulacja argumentem goodsName pozwala na zdalne wstrzyknięcie złośliwego kodu. Exploit został publicznie ujawniony i może być wykorzystany do ataków.
- CVE-2025-10422Średnie
W newbee-mall do wersji 613a662adf1da7623ec34459bc83e3c1b12d8ce7 funkcja paySuccess w pliku /paySuccess (komponent Order Status Handler) jest podatna na manipulację argumentem orderNo prowadzącą do niewłaściwej autoryzacji. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in newbee-mall 1.0. Impacted is the function mallKaptcha of the file /common/mall/kaptcha. The manipulation results in guessable captcha. The attack can be executed remotely. A high complexity level is associated with this attack. The exploitability is considered difficult. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS