CVE-2026-108691

W mall4j do wersji 4.0 występuje brak uwierzytelnienia w punkcie końcowym PUT /user/updatePwd, co pozwala nieuwierzytelnionym atakującym na zresetowanie hasła dowolnego konta sklepu. Atakujący może podać nazwę użytkownika w treści żądania i nadpisać hasło bez weryfikacji, co umożliwia przejęcie konta i dostęp do zamówień oraz danych osobowych.

Podatność ujawnienia informacji w mall4j do wersji 4.0 pozwala uwierzytelnionym klientom na odczyt koszyków innych kupujących z powodu błędu pierwszeństwa operatorów w filtrze SQL getShopCartExpiryItems. Atakujący z dowolnym kontem sklepu może wysłać żądanie GET /p/shopCart/expiryProdList, aby pobrać wpisy koszyka z produktami niedostępnymi, w tym produkt, SKU, ilość, sklep i numery kart promotora.

mall4j do wersji 4.0 zawiera podatność niewystarczającego wygasania sesji w punkcie końcowym odświeżania tokena, który nie sprawdza flagi 'enabled' przy wydawaniu nowych sesji. Wyłączeni użytkownicy mogą w nieskończoność odnawiać swoje sesje przez punkt końcowy POST /token/refresh, zachowując dostęp, który wyłączenie konta miało usunąć.

mall4j do wersji 4.0 zawiera podatność nieograniczonego przesyłania plików w punktach końcowych FileController, które nie mają kontroli autoryzacji i akceptują dowolne typy plików bez walidacji. Atakujący z dowolnym uwierzytelnionym tokenem mogą przesyłać pliki HTML lub SVG, które wykonują skrypty w przeglądarkach administratorów, gdy są dostępne ze ścieżki lokalnego przechowywania, co prowadzi do trwałego cross-site scripting.

mall4j do wersji 4.0 nie egzekwuje kontroli autoryzacji na punktach końcowych GET w UserAddrController, które pobierają dane adresowe klientów. Uwierzytelnieni atakujący mogą wywoływać punkty końcowe /user/addr/page i /user/addr/info, aby zbierać wszystkie adresy klientów, w tym imiona, numery telefonów i dane pocztowe.

mall4j do wersji 4.0 nie waliduje pola sysType w sesjach sa-token, co pozwala klientom sklepu na uwierzytelnianie się jako użytkownicy zaplecza poprzez ponowne użycie tokenów sesji. Atakujący mogą zarejestrować się na publicznym sklepie i użyć swojego tokena sesji klienta, aby uzyskać dostęp do punktów końcowych administratora, które nie mają kontroli @PreAuthorize, w tym list menu, przesyłania plików i punktów konfiguracyjnych.

Aplikacja mall4j do wersji 4.0 zawiera podatność braku uwierzytelniania w punkcie końcowym checkDelivery kontrolera DeliveryController. Niezautoryzowani atakujący mogą odczytywać informacje o śledzeniu przesyłek, podając numer zamówienia, bez uwierzytelnienia lub weryfikacji własności.

mall4j do wersji 4.0 nie implementuje kontroli uwierzytelniania na punkcie końcowym DELETE /prodComm w ProdCommController. Nieuwierzytelnieni atakujący mogą usuwać dowolne recenzje produktów, podając parametr prodCommId bez żadnych kontroli autoryzacji.