CVE-2025-67419
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność DoS w evershop 2.1.0 i wcześniejszych pozwala nieuwierzytelnionym atakującym na wyczerpanie zasobów serwera aplikacji poprzez API "GET /images". Aplikacja nie ogranicza wysokości drzewa cieni elementów ani wymiarów kafelków wzorów podczas przetwarzania plików SVG, co prowadzi do nieograniczonego zużycia zasobów i odmowy usługi.
Ocena ryzyka
Atakujący może spowodować niedostępność aplikacji dla wszystkich użytkowników, co prowadzi do przerw w działaniu usług i potencjalnych strat finansowych oraz utraty zaufania klientów.
Rekomendacja
Zaktualizuj evershop do najnowszej wersji, która zawiera poprawkę. Jeśli nie jest dostępna, ogranicz dostęp do API "GET /images" dla nieuwierzytelnionych użytkowników oraz wdróż limity zasobów (np. timeout, limit rozmiaru plików SVG).
Inne podatności w evershop
Zobacz wszystkie- CVE-2026-72843Krytyczne
W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.
- CVE-2026-115323Wysokie
EverShop w wersji 1.2.2 przed 2.2.1 zawiera podatność na brak autoryzacji w API adresów klientów, która pozwala nieuwierzytelnionym atakującym zarządzać adresami innych klientów. Atakujący znający identyfikatory UUID klienta i adresu mogą wysyłać żądania POST, PATCH lub DELETE do tras /api/customers/:customer_id/addresses, aby dodawać, modyfikować lub usuwać zapisane adresy wysyłki.
- CVE-2025-67427Średnie
W evershop 2.1.0 i wcześniejszych występuje podatność Blind Server-Side Request Forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wymusić na serwerze zainicjowanie żądania HTTP poprzez API "GET /images". Podatność wynika z niewystarczającej walidacji parametru zapytania "src", który dopuszcza dowolne URI HTTP lub HTTPS, co skutkuje nieoczekiwanymi żądaniami do sieci wewnętrznych i zewnętrznych.
- CVE-2025-65844Wysokie
EverShop 2.0.1 pozwala nieuwierzytelnionemu zdalnemu atakującemu na przesyłanie dowolnych plików i tworzenie katalogów poprzez endpoint /api/images. Walidacja po stronie serwera jest niewystarczająca, a endpoint domyślnie dostępny bez uwierzytelnienia.
- CVE-2025-12919Niskie
W EverShop (do wersji 2.0.1) w pliku Order.resolvers.js komponentu Order Handler manipulacja argumentem uuid prowadzi do nieprawidłowej kontroli identyfikatorów zasobów. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i trudną eksploatacją, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A Denial of Service (DoS) vulnerability in evershop 2.1.0 and prior allows unauthenticated attackers to exhaust the application server's resources via the "GET /images" API. The application fails to limit the height of the use-element shadow tree or the dimensions of pattern tiles during the processing of SVG files, resulting in unbounded resource consumption and system-wide denial of service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS