CVE-2025-12919
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W EverShop (do wersji 2.0.1) w pliku Order.resolvers.js komponentu Order Handler manipulacja argumentem uuid prowadzi do nieprawidłowej kontroli identyfikatorów zasobów. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i trudną eksploatacją, a exploit jest publiczny.
Ocena ryzyka
Atakujący może uzyskać dostęp do zamówień innych użytkowników lub wykonać nieautoryzowane operacje na zasobach. Wysoka złożoność ataku ogranicza, ale nie eliminuje ryzyka.
Rekomendacja
Wdróż poprawkę od dostawcy lub ogranicz dostęp do API GraphQL zamówień. Zadbaj o autoryzację po stronie serwera dla każdego identyfikatora uuid.
Inne podatności w EverShop
Zobacz wszystkie- CVE-2025-67419Wysokie
Podatność DoS w evershop 2.1.0 i wcześniejszych pozwala nieuwierzytelnionym atakującym na wyczerpanie zasobów serwera aplikacji poprzez API "GET /images". Aplikacja nie ogranicza wysokości drzewa cieni elementów ani wymiarów kafelków wzorów podczas przetwarzania plików SVG, co prowadzi do nieograniczonego zużycia zasobów i odmowy usługi.
- CVE-2026-72843Krytyczne
W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in EverShop up to 2.0.1. Affected is an unknown function of the file /src/modules/oms/graphql/types/Order/Order.resolvers.js of the component Order Handler. The manipulation of the argument uuid results in improper control of resource identifiers. The attack may be performed from remote. This attack is characterized by high complexity. The exploitability is told to be difficult. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS