CVE-2025-67427
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W evershop 2.1.0 i wcześniejszych występuje podatność Blind Server-Side Request Forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wymusić na serwerze zainicjowanie żądania HTTP poprzez API "GET /images". Podatność wynika z niewystarczającej walidacji parametru zapytania "src", który dopuszcza dowolne URI HTTP lub HTTPS, co skutkuje nieoczekiwanymi żądaniami do sieci wewnętrznych i zewnętrznych.
Ocena ryzyka
Atakujący może wykorzystać serwer do skanowania i uzyskiwania dostępu do zasobów sieci wewnętrznej oraz do wykonywania żądań do zewnętrznych usług. Może to prowadzić do ujawnienia informacji o infrastrukturze lub interakcji z wewnętrznymi systemami.
Rekomendacja
Zaktualizuj evershop do wersji zawierającej poprawkę lub wdróż walidację parametru "src" ograniczającą dozwolone schematy i adresy (whitelist). Dodatkowo ogranicz ruch wychodzący z serwera aplikacji.
Inne podatności w evershop
Zobacz wszystkie- CVE-2026-72843Krytyczne
W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.
- CVE-2026-115323Wysokie
EverShop w wersji 1.2.2 przed 2.2.1 zawiera podatność na brak autoryzacji w API adresów klientów, która pozwala nieuwierzytelnionym atakującym zarządzać adresami innych klientów. Atakujący znający identyfikatory UUID klienta i adresu mogą wysyłać żądania POST, PATCH lub DELETE do tras /api/customers/:customer_id/addresses, aby dodawać, modyfikować lub usuwać zapisane adresy wysyłki.
- CVE-2025-67419Wysokie
Podatność DoS w evershop 2.1.0 i wcześniejszych pozwala nieuwierzytelnionym atakującym na wyczerpanie zasobów serwera aplikacji poprzez API "GET /images". Aplikacja nie ogranicza wysokości drzewa cieni elementów ani wymiarów kafelków wzorów podczas przetwarzania plików SVG, co prowadzi do nieograniczonego zużycia zasobów i odmowy usługi.
- CVE-2025-65844Wysokie
EverShop 2.0.1 pozwala nieuwierzytelnionemu zdalnemu atakującemu na przesyłanie dowolnych plików i tworzenie katalogów poprzez endpoint /api/images. Walidacja po stronie serwera jest niewystarczająca, a endpoint domyślnie dostępny bez uwierzytelnienia.
- CVE-2025-12919Niskie
W EverShop (do wersji 2.0.1) w pliku Order.resolvers.js komponentu Order Handler manipulacja argumentem uuid prowadzi do nieprawidłowej kontroli identyfikatorów zasobów. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i trudną eksploatacją, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A Blind Server-Side Request Forgery (SSRF) vulnerability in evershop 2.1.0 and prior allows unauthenticated attackers to force the server to initiate an HTTP request via the "GET /images" API. The vulnerability occurs due to insufficient validation of the "src" query parameter, which permits arbitrary HTTP or HTTPS URIs, resulting in unexpected requests against internal and external networks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS