CVE-2025-50847
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W CS Cart 4.18.3 wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF). Umożliwia ona atakującym dodawanie produktów do listy porównawczej użytkownika za pomocą spreparowanego żądania HTTP.
Ocena ryzyka
Atakujący może manipulować listą porównawczą ofiary, co może prowadzić do dezinformacji lub wpływać na decyzje zakupowe użytkownika. Podatność nie wymaga interakcji ofiary poza odwiedzeniem złośliwej strony.
Rekomendacja
Należy zaktualizować CS Cart do najnowszej wersji, która zawiera poprawkę eliminującą podatność CSRF. Dodatkowo warto wdrożyć mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF.
Inne podatności w CS Cart
Zobacz wszystkie- CVE-2025-50850Wysokie
W CS Cart 4.18.3 w funkcji logowania dostawcy brakuje podstawowych zabezpieczeń, takich jak weryfikacja CAPTCHA i ograniczenie szybkości żądań. Umożliwia to atakującemu przeprowadzenie ataku brute-force na konta dostawców poprzez systematyczne testowanie kombinacji nazw użytkownika i haseł. Brak mechanizmu blokowania sprawia, że punkt końcowy logowania jest podatny na zautomatyzowane ataki.
- CVE-2025-50848Średnie
W CS Cart 4.18.3 odkryto podatność polegającą na nieograniczonym przesyłaniu plików HTML, które są renderowane bezpośrednio w przeglądarce. Umożliwia to atakującemu przesłanie spreparowanego pliku HTML zawierającego złośliwą treść, np. fałszywy formularz logowania do kradzieży danych uwierzytelniających lub skrypty do ataków Cross-Site Scripting (XSS). Ponieważ treść jest serwowana z zaufanej domeny, znacznie zwiększa to skuteczność ataków phishingowych lub wykonywania skryptów na innych użytkownikach.
- CVE-2025-50849Wysokie
W CS Cart 4.18.3 wykryto podatność IDOR w funkcji profilu użytkownika. Parametr company_id umożliwia włączanie/wyłączanie naklejek bez odpowiedniej walidacji po stronie serwera. Uwierzytelniony użytkownik może modyfikować ten parametr, aby wpływać na ustawienia naklejek innych kont.
Oryginalny opis (angielski, źródło NVD)
Cross Site Request Forgery (CSRF) vulnerability in CS Cart 4.18.3, allows attackers to add products to a user's comparison list via a crafted HTTP request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS