CVE-2026-103536
WysokieCVSS 7.3Streszczenie
W ZongXR Supermarket 1.0.0.0 wykryto podatność w funkcji OrderController.addOrder w pliku OrderController.java (komponent save Endpoint). Manipulacja argumentem userId prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany; projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Brak uwierzytelnienia w punkcie końcowym zamówień pozwala nieuwierzytelnionemu atakującemu na zdalne wykonywanie operacji, co może prowadzić do nieautoryzowanych zmian danych.
Rekomendacja
Zaleca się wdrożenie własnych mechanizmów uwierzytelniania i autoryzacji dla punktu końcowego addOrder oraz monitorowanie nietypowych żądań, ponieważ oficjalna poprawka nie została wydana.
Inne podatności w ZongXR Supermarket
Zobacz wszystkie- CVE-2026-103539Średnie
W ZongXR SuperMarket 1.0.0.0 stwierdzono słabość w funkcji startBuy pliku InstantBuyController.java komponentu Instant Buy. Manipulacja argumentem Username prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-103538Średnie
W ZongXR SuperMarket 1.0.0.0 odkryto błąd bezpieczeństwa w funkcji OrderController.deleteOrder pliku OrderController.java komponentu Order Deletion Endpoint. Manipulacja argumentem orderId prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in ZongXR Supermarket 1.0.0.0. Affected by this vulnerability is the function OrderController.addOrder of the file order/src/main/java/com/supermarket/order/controller/OrderController.java of the component save Endpoint. Such manipulation of the argument userId leads to missing authentication. The attack can be executed remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS