CVE-2025-13117
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W macrozheng mall-swarm i mall do wersji 1.0.3 wykryto lukę w funkcji cancelOrder w pliku /order/cancelOrder. Manipulacja argumentem orderId prowadzi do niewłaściwej autoryzacji; atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie anulować zamówienia bez odpowiednich uprawnień, co może zakłócić działalność i naruszyć integralność danych.
Rekomendacja
Jak najszybciej wdróż poprawkę lub obejście, ponieważ exploit jest publicznie dostępny; rozważ ograniczenie dostępu do endpointu do zaufanych użytkowników.
Inne podatności w macrozheng mall-swarm and mall
Zobacz wszystkie- CVE-2025-13116Średnie
W macrozheng mall-swarm i mall do wersji 1.0.3 zidentyfikowano słabość w funkcji cancelUserOrder w pliku /order/cancelUserOrder. Manipulacja argumentem orderId może prowadzić do niewłaściwej autoryzacji; atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
- CVE-2025-13115Średnie
W macrozheng mall-swarm i mall do wersji 1.0.3 odkryto lukę bezpieczeństwa w funkcji detail pliku /order/detail/ komponentu Order Details Handler. Manipulacja argumentem orderId prowadzi do niewłaściwej autoryzacji. Atak można zainicjować zdalnie, a exploit został upubliczniony i może być wykorzystany. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in macrozheng mall-swarm and mall up to 1.0.3. Affected by this vulnerability is the function cancelOrder of the file /order/cancelOrder. The manipulation of the argument orderId leads to improper authorization. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS