CVE-2026-103539
ŚrednieCVSS 5.4Streszczenie
W ZongXR SuperMarket 1.0.0.0 stwierdzono słabość w funkcji startBuy pliku InstantBuyController.java komponentu Instant Buy. Manipulacja argumentem Username prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Brak uwierzytelnienia w funkcji zakupu może umożliwić nieautoryzowane transakcje i naruszenie integralności danych.
Rekomendacja
Należy natychmiast ograniczyć dostęp do funkcji Instant Buy, zastosować poprawki od producenta lub rozważyć wyłączenie komponentu do czasu naprawy.
Inne podatności w ZongXR SuperMarket
Zobacz wszystkie- CVE-2026-103538Średnie
W ZongXR SuperMarket 1.0.0.0 odkryto błąd bezpieczeństwa w funkcji OrderController.deleteOrder pliku OrderController.java komponentu Order Deletion Endpoint. Manipulacja argumentem orderId prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2026-103536Wysokie
W ZongXR Supermarket 1.0.0.0 wykryto podatność w funkcji OrderController.addOrder w pliku OrderController.java (komponent save Endpoint). Manipulacja argumentem userId prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystywany; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in ZongXR SuperMarket 1.0.0.0. This affects the function startBuy of the file instant-buy/src/main/java/com/supermarket/instantbuy/controller/InstantBuyController.java of the component Instant Buy. Executing a manipulation of the argument Username can lead to missing authentication. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS