CVE-2025-65276
KrytyczneStreszczenie
Podatność nieuwierzytelnionego dostępu administracyjnego istnieje w projekcie open-source HashTech (https://github.com/henzljw/hashtech) w wersjach od 1.0 do commita 5919decaff2681dc250e934814fc3a35f6093ee5 (2021-07-02). Z powodu braku kontroli uwierzytelniania w /admin_index.php, atakujący może bezpośrednio uzyskać dostęp do panelu administratora bez ważnych poświadczeń. Umożliwia to pełną kontrolę administracyjną, w tym przeglądanie/modyfikowanie kont użytkowników, zarządzanie zamówieniami, zmianę płatności i edycję list produktów. Skuteczne wykorzystanie może prowadzić do ujawnienia informacji, manipulacji danymi i eskalacji uprawnień.
Ocena ryzyka
Osoba atakująca może przejąć pełną kontrolę nad aplikacją, co może prowadzić do kradzieży danych, manipulacji zamówieniami i płatnościami oraz eskalacji uprawnień.
Rekomendacja
Zaktualizuj HashTech do wersji nowszej niż commit 5919decaff2681dc250e934814fc3a35f6093ee5. Dodaj uwierzytelnianie do /admin_index.php i innych wrażliwych punktów końcowych.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated administrative access vulnerability exists in the open-source HashTech project (https://github.com/henzljw/hashtech) 1.0 thru commit 5919decaff2681dc250e934814fc3a35f6093ee5 (2021-07-02). Due to missing authentication checks on /admin_index.php, an attacker can directly access the admin dashboard without valid credentials. This allows full administrative control including viewing/modifying user accounts, managing orders, changing payments, and editing product listings. Successful exploitation can lead to information disclosure, data manipulation, and privilege escalation.