CVE-2025-65844
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
EverShop 2.0.1 pozwala nieuwierzytelnionemu zdalnemu atakującemu na przesyłanie dowolnych plików i tworzenie katalogów poprzez endpoint /api/images. Walidacja po stronie serwera jest niewystarczająca, a endpoint domyślnie dostępny bez uwierzytelnienia.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki (np. fałszywe panele logowania do przechwytywania danych uwierzytelniających) lub wyczerpać przestrzeń dyskową, powodując odmowę usługi.
Rekomendacja
Włącz uwierzytelnianie dla endpointu /api/images, wzmocnij walidację przesyłanych plików i ogranicz typy dozwolonych plików.
Inne podatności w EverShop
Zobacz wszystkie- CVE-2026-72843Krytyczne
W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.
- CVE-2026-115323Wysokie
EverShop w wersji 1.2.2 przed 2.2.1 zawiera podatność na brak autoryzacji w API adresów klientów, która pozwala nieuwierzytelnionym atakującym zarządzać adresami innych klientów. Atakujący znający identyfikatory UUID klienta i adresu mogą wysyłać żądania POST, PATCH lub DELETE do tras /api/customers/:customer_id/addresses, aby dodawać, modyfikować lub usuwać zapisane adresy wysyłki.
- CVE-2025-67427Średnie
W evershop 2.1.0 i wcześniejszych występuje podatność Blind Server-Side Request Forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wymusić na serwerze zainicjowanie żądania HTTP poprzez API "GET /images". Podatność wynika z niewystarczającej walidacji parametru zapytania "src", który dopuszcza dowolne URI HTTP lub HTTPS, co skutkuje nieoczekiwanymi żądaniami do sieci wewnętrznych i zewnętrznych.
- CVE-2025-67419Wysokie
Podatność DoS w evershop 2.1.0 i wcześniejszych pozwala nieuwierzytelnionym atakującym na wyczerpanie zasobów serwera aplikacji poprzez API "GET /images". Aplikacja nie ogranicza wysokości drzewa cieni elementów ani wymiarów kafelków wzorów podczas przetwarzania plików SVG, co prowadzi do nieograniczonego zużycia zasobów i odmowy usługi.
- CVE-2025-12919Niskie
W EverShop (do wersji 2.0.1) w pliku Order.resolvers.js komponentu Order Handler manipulacja argumentem uuid prowadzi do nieprawidłowej kontroli identyfikatorów zasobów. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i trudną eksploatacją, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
EverShop 2.0.1 allows a remote unauthenticated attacker to upload arbitrary files and create directories via the /api/images endpoint. The endpoint is accessible without authentication by default, and server-side validation of uploaded files is insufficient. This can be abused to upload arbitrary content (including non-image files) which could impersonate user/admin login panels (exfiltrating credentials) and to perform a denial-of-service attack by exhausting disk space.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS