CVE-2026-110119
WysokieCVSS 7.1Streszczenie
Yshopmall w wersji do 2.0.0 zawiera podatność typu niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) w API adresów członków. Uwierzytelnieni użytkownicy mogą odczytywać, nadpisywać i usuwać adresy dostaw innych użytkowników poprzez enumerację identyfikatorów adresów w punktach końcowych /address/detail/{id}, /address/del i /address/edit.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych osobowych (imiona, numery telefonów, adresy) innych użytkowników, a także modyfikować lub usuwać ich adresy dostaw, co może prowadzić do naruszenia prywatności i oszustw.
Rekomendacja
Należy jak najszybciej zaktualizować Yshopmall do wersji nowszej niż 2.0.0, jeśli jest dostępna, lub wdrożyć kontrolę dostępu weryfikującą uprawnienia użytkownika do każdego adresu. Zaleca się również audyt logów w poszukiwaniu nieautoryzowanego dostępu do punktów końcowych adresów.
Inne podatności w Yshopmall
Zobacz wszystkie- CVE-2026-110120Średnie
Yshopmall do wersji 2.0.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w API obsługi posprzedażowej, która pozwala uwierzytelnionym członkom na dostęp do danych innych członków poprzez podanie ich identyfikatora posprzedażowego i orderCode. Atakujący mogą wywoływać deleteAfterSalesOrder, addLogisticsInformation lub GET /applyForAfterSales/{key}, aby przeglądać pozycje zamówień innych członków oraz modyfikować lub usuwać ich rekordy posprzedażowe.
- CVE-2026-75308Średnie
W yshopmall w wersji 3.3 i wcześniejszych występuje podatność na Cross Site Scripting (XSS). Endpoint do przesyłania plików /api/upload nie waliduje typów plików. Atakujący mogą przesyłać pliki dowolnego typu, w tym HTML, JSP i inne pliki wykonywalne.
Oryginalny opis (angielski, źródło NVD)
Yshopmall through 2.0.0 contains an insecure direct object reference vulnerability in the member address API that allows authenticated members to read, overwrite and delete other members' shipping addresses. Attackers can enumerate sequential address ids via /address/detail/{id}, /address/del and /address/edit to expose recipient names, phone numbers and addresses, reassign them, or delete them.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS