CVE-2026-105444

ŚrednieCVSS 6.3

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Odkryto błąd bezpieczeństwa w dotnet eShop .NET 8. Dotkniętym elementem jest funkcja GetOrderAsync w pliku src/Ordering.API/Apis/OrdersApi.cs komponentu Ordering API. Manipulacja argumentem OrderNumber prowadzi do nieprawidłowej kontroli identyfikatorów zasobów. Atak może być przeprowadzony zdalnie. Projekt został poinformowany o problemie wcześnie przez zgłoszenie problemu, ale jeszcze nie odpowiedział.

Ocena ryzyka

Atakujący może manipulować identyfikatorami zamówień, co może prowadzić do nieautoryzowanego dostępu do danych zamówień innych użytkowników.

Rekomendacja

Ponieważ projekt nie odpowiedział, należy wdrożyć własne środki łagodzące, takie jak walidacja i sanityzacja danych wejściowych oraz kontrola dostępu do zasobów.

Inne podatności w dotnet eShop

CVE-2026-112044Wysokie
W dotnet eShop do wersji 913acea66708a59595351174cee9b29f37179d29 wykryto podatność w funkcji AddApplicationServices w pliku src/Catalog.API/Extensions/Extensions.cs komponentu Catalog API. Manipulacja prowadzi do nieprawidłowego uwierzytelniania, a atak można zainicjować zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in dotnet eShop .NET 8. The impacted element is the function GetOrderAsync of the file src/Ordering.API/Apis/OrdersApi.cs of the component Ordering API. Performing a manipulation of the argument OrderNumber results in improper control of resource identifiers. The attack is possible to be carried out remotely. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS