CVE-2026-105571
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wykryto podatność w PickMall Lilishop do wersji 4.2.4. Problem dotyczy nieznanej funkcji w pliku /buyer/passport/member/bindMobile w komponencie Mobile Binding. Manipulacja argumentem Username powoduje nieprawidłową autoryzację. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
Ocena ryzyka
Nieprawidłowa autoryzacja może umożliwić atakującemu zmianę powiązania numeru telefonu z kontem użytkownika, co może prowadzić do przejęcia konta i nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do tego punktu końcowego i wdrożenie dodatkowych kontroli autoryzacji. Należy również monitorować komunikaty producenta w celu uzyskania poprawek.
Inne podatności w PickMall Lilishop
Zobacz wszystkie- CVE-2026-110122Średnie
PickMall lilishop do wersji 4.4 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym sprzedawcom na zmianę szablonów frachtu produktów innych sklepów poprzez PUT /store/goods/goods/freight. Metody GoodsServiceImpl.freight i GoodsSkuServiceImpl.freight aktualizują towary i SKU po identyfikatorze bez sprawdzania zakresu sklepu.
- CVE-2026-110121Średnie
PickMall lilishop do wersji 4.4 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym sprzedawcom na nadpisanie produktu dowolnego sklepu poprzez podanie goodsId innego sklepu do endpointu aktualizacji. Atakujący mogą wysyłać żądania PUT do /store/goods/goods/update/{goodsId}, aby zastąpić szczegóły produktu i SKU oraz przypisać produkty do własnego sklepu.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in PickMall Lilishop up to 4.2.4. The impacted element is an unknown function of the file /buyer/passport/member/bindMobile of the component Mobile Binding. This manipulation of the argument Username causes improper authorization. It is possible to initiate the attack remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS