CVE-2025-13115
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W macrozheng mall-swarm i mall do wersji 1.0.3 odkryto lukę bezpieczeństwa w funkcji detail pliku /order/detail/ komponentu Order Details Handler. Manipulacja argumentem orderId prowadzi do niewłaściwej autoryzacji. Atak można zainicjować zdalnie, a exploit został upubliczniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział.
Ocena ryzyka
Może to pozwolić atakującemu na nieautoryzowany dostęp do szczegółów zamówień innych użytkowników.
Rekomendacja
Zaktualizuj system do wersji, która naprawia podatność, lub wdróż poprawki autoryzacji.
Inne podatności w macrozheng mall-swarm and mall
Zobacz wszystkie- CVE-2025-13117Średnie
W macrozheng mall-swarm i mall do wersji 1.0.3 wykryto lukę w funkcji cancelOrder w pliku /order/cancelOrder. Manipulacja argumentem orderId prowadzi do niewłaściwej autoryzacji; atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2025-13116Średnie
W macrozheng mall-swarm i mall do wersji 1.0.3 zidentyfikowano słabość w funkcji cancelUserOrder w pliku /order/cancelUserOrder. Manipulacja argumentem orderId może prowadzić do niewłaściwej autoryzacji; atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in macrozheng mall-swarm and mall up to 1.0.3. This impacts the function detail of the file /order/detail/ of the component Order Details Handler. Performing manipulation of the argument orderId results in improper authorization. It is possible to initiate the attack remotely. The exploit has been released to the public and may be exploited. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS