CVE-2025-15086
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W youlai-mall w wersjach 1.0.0 i 2.0.0 wykryto słabość w funkcji getMemberByMobile w pliku mall-ums/ums-boot/src/main/java/com/youlai/mall/ums/controller/app/MemberController.java. Manipulacja powoduje niewłaściwą kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykorzystać podatność do uzyskania nieautoryzowanego dostępu do danych członków, co może prowadzić do naruszenia prywatności i bezpieczeństwa.
Rekomendacja
Skontaktuj się z dostawcą w celu uzyskania poprawki; do czasu jej wydania rozważ ograniczenie dostępu do interfejsu API lub wdrożenie dodatkowych kontroli dostępu.
Inne podatności w youlai-mall
Zobacz wszystkie- CVE-2025-15087Średnie
W youlai-mall (wersje 1.0.0 i 2.0.0) wykryto podatność w funkcji submitOrderPayment w pliku OrderController.java. Manipulacja argumentem orderSn prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-15085Średnie
W aplikacji youlai-mall (wersje 1.0.0 i 2.0.0) wykryto błąd bezpieczeństwa w funkcji deductBalance w pliku MemberController.java. Manipulacja danymi prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-15084Niskie
W youlaitech youlai-mall w wersjach 1.0.0/2.0.0 wykryto podatność w funkcji orderService.payOrder w pliku OrderController.java, prowadzącą do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit jest publicznie dostępny, a producent nie odpowiedział.
- CVE-2025-14052Średnie
Wykryto podatność w youlaitech youlai-mall w wersjach 1.0.0 i 2.0.0. Dotyczy funkcji getMemberById w pliku /mall-ums/app-api/v1/members/. Manipulacja argumentem memberId prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in youlaitech youlai-mall 1.0.0/2.0.0. This impacts the function getMemberByMobile of the file mall-ums/ums-boot/src/main/java/com/youlai/mall/ums/controller/app/MemberController.java. This manipulation causes improper access controls. The attack may be initiated remotely. The exploit has been made available to the public and could be exploited. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS