CVE-2025-14052
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wykryto podatność w youlaitech youlai-mall w wersjach 1.0.0 i 2.0.0. Dotyczy funkcji getMemberById w pliku /mall-ums/app-api/v1/members/. Manipulacja argumentem memberId prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych członków, co może prowadzić do naruszenia prywatności i wycieku danych.
Rekomendacja
Zastosuj poprawki od producenta lub ogranicz dostęp do API. Wdróż odpowiednią kontrolę dostępu na poziomie aplikacji.
Inne podatności w youlai-mall
Zobacz wszystkie- CVE-2025-15087Średnie
W youlai-mall (wersje 1.0.0 i 2.0.0) wykryto podatność w funkcji submitOrderPayment w pliku OrderController.java. Manipulacja argumentem orderSn prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-15086Średnie
W youlai-mall w wersjach 1.0.0 i 2.0.0 wykryto słabość w funkcji getMemberByMobile w pliku mall-ums/ums-boot/src/main/java/com/youlai/mall/ums/controller/app/MemberController.java. Manipulacja powoduje niewłaściwą kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-15085Średnie
W aplikacji youlai-mall (wersje 1.0.0 i 2.0.0) wykryto błąd bezpieczeństwa w funkcji deductBalance w pliku MemberController.java. Manipulacja danymi prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-15084Niskie
W youlaitech youlai-mall w wersjach 1.0.0/2.0.0 wykryto podatność w funkcji orderService.payOrder w pliku OrderController.java, prowadzącą do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit jest publicznie dostępny, a producent nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in youlaitech youlai-mall 1.0.0/2.0.0. Affected by this vulnerability is the function getMemberById of the file /mall-ums/app-api/v1/members/. The manipulation of the argument memberId leads to improper access controls. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS