CVE-2026-102361
KrytyczneCVSS 9.1Streszczenie
W mall4j do wersji 4.0 występuje brak uwierzytelnienia w punkcie końcowym PUT /user/updatePwd, co pozwala nieuwierzytelnionym atakującym na zresetowanie hasła dowolnego konta sklepu. Atakujący może podać nazwę użytkownika w treści żądania i nadpisać hasło bez weryfikacji, co umożliwia przejęcie konta i dostęp do zamówień oraz danych osobowych.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć konta użytkowników sklepu, uzyskując dostęp do wrażliwych danych, co może prowadzić do naruszenia prywatności i strat finansowych.
Rekomendacja
Należy natychmiast zaktualizować mall4j do wersji z poprawką oraz wdrożyć dodatkowe mechanizmy uwierzytelniania, takie jak weryfikacja tożsamości przed zmianą hasła.
Inne podatności w mall4j
Zobacz wszystkie- CVE-2026-102367Średnie
mall4j do wersji 4.0 zawiera podatność niewystarczającego wygasania sesji w punkcie końcowym odświeżania tokena, który nie sprawdza flagi 'enabled' przy wydawaniu nowych sesji. Wyłączeni użytkownicy mogą w nieskończoność odnawiać swoje sesje przez punkt końcowy POST /token/refresh, zachowując dostęp, który wyłączenie konta miało usunąć.
- CVE-2026-102366Średnie
mall4j do wersji 4.0 zawiera podatność nieograniczonego przesyłania plików w punktach końcowych FileController, które nie mają kontroli autoryzacji i akceptują dowolne typy plików bez walidacji. Atakujący z dowolnym uwierzytelnionym tokenem mogą przesyłać pliki HTML lub SVG, które wykonują skrypty w przeglądarkach administratorów, gdy są dostępne ze ścieżki lokalnego przechowywania, co prowadzi do trwałego cross-site scripting.
- CVE-2026-102365Średnie
mall4j do wersji 4.0 nie egzekwuje kontroli autoryzacji na punktach końcowych GET w UserAddrController, które pobierają dane adresowe klientów. Uwierzytelnieni atakujący mogą wywoływać punkty końcowe /user/addr/page i /user/addr/info, aby zbierać wszystkie adresy klientów, w tym imiona, numery telefonów i dane pocztowe.
- CVE-2026-102364Średnie
mall4j do wersji 4.0 nie waliduje pola sysType w sesjach sa-token, co pozwala klientom sklepu na uwierzytelnianie się jako użytkownicy zaplecza poprzez ponowne użycie tokenów sesji. Atakujący mogą zarejestrować się na publicznym sklepie i użyć swojego tokena sesji klienta, aby uzyskać dostęp do punktów końcowych administratora, które nie mają kontroli @PreAuthorize, w tym list menu, przesyłania plików i punktów konfiguracyjnych.
- CVE-2026-102363Niskie
Aplikacja mall4j do wersji 4.0 zawiera podatność braku uwierzytelniania w punkcie końcowym checkDelivery kontrolera DeliveryController. Niezautoryzowani atakujący mogą odczytywać informacje o śledzeniu przesyłek, podając numer zamówienia, bez uwierzytelnienia lub weryfikacji własności.
- CVE-2026-102362Średnie
mall4j do wersji 4.0 nie implementuje kontroli uwierzytelniania na punkcie końcowym DELETE /prodComm w ProdCommController. Nieuwierzytelnieni atakujący mogą usuwać dowolne recenzje produktów, podając parametr prodCommId bez żadnych kontroli autoryzacji.
Oryginalny opis (angielski, źródło NVD)
mall4j through 4.0 contains a missing authentication vulnerability in the PUT /user/updatePwd endpoint that allows unauthenticated attackers to reset any storefront account password. Attackers can supply a target username in the request body to overwrite passwords without verification, enabling account takeover and access to orders and personal data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS