CVE-2025-13116
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W macrozheng mall-swarm i mall do wersji 1.0.3 zidentyfikowano słabość w funkcji cancelUserOrder w pliku /order/cancelUserOrder. Manipulacja argumentem orderId może prowadzić do niewłaściwej autoryzacji; atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie anulować zamówienia użytkowników bez wymaganych uprawnień, co może zakłócić działanie systemu i naruszyć integralność danych.
Rekomendacja
Natychmiast wdróż poprawkę lub środek zaradczy, ponieważ exploit jest publiczny; rozważ ograniczenie dostępu do endpointu.
Inne podatności w macrozheng mall-swarm and mall
Zobacz wszystkie- CVE-2025-13117Średnie
W macrozheng mall-swarm i mall do wersji 1.0.3 wykryto lukę w funkcji cancelOrder w pliku /order/cancelOrder. Manipulacja argumentem orderId prowadzi do niewłaściwej autoryzacji; atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2025-13115Średnie
W macrozheng mall-swarm i mall do wersji 1.0.3 odkryto lukę bezpieczeństwa w funkcji detail pliku /order/detail/ komponentu Order Details Handler. Manipulacja argumentem orderId prowadzi do niewłaściwej autoryzacji. Atak można zainicjować zdalnie, a exploit został upubliczniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in macrozheng mall-swarm and mall up to 1.0.3. Affected is the function cancelUserOrder of the file /order/cancelUserOrder. Executing manipulation of the argument orderId can lead to improper authorization. It is possible to launch the attack remotely. The exploit has been made available to the public and could be exploited. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS