CVE-2026-103538
ŚrednieCVSS 6.5Streszczenie
W ZongXR SuperMarket 1.0.0.0 odkryto błąd bezpieczeństwa w funkcji OrderController.deleteOrder pliku OrderController.java komponentu Order Deletion Endpoint. Manipulacja argumentem orderId prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Brak uwierzytelnienia w usuwaniu zamówień może umożliwić nieautoryzowane usuwanie danych i naruszenie integralności systemu.
Rekomendacja
Należy natychmiast ograniczyć dostęp do endpointu usuwania zamówień, zastosować poprawki lub rozważyć wyłączenie komponentu do czasu naprawy.
Inne podatności w ZongXR SuperMarket
Zobacz wszystkie- CVE-2026-103539Średnie
W ZongXR SuperMarket 1.0.0.0 stwierdzono słabość w funkcji startBuy pliku InstantBuyController.java komponentu Instant Buy. Manipulacja argumentem Username prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-103536Wysokie
W ZongXR Supermarket 1.0.0.0 wykryto podatność w funkcji OrderController.addOrder w pliku OrderController.java (komponent save Endpoint). Manipulacja argumentem userId prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in ZongXR SuperMarket 1.0.0.0. Affected by this issue is the function OrderController.deleteOrder of the file order/src/main/java/com/supermarket/order/controller/OrderController.java of the component Order Deletion Endpoint. Performing a manipulation of the argument orderId results in missing authentication. The attack is possible to be carried out remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS