CVE-2026-110120
ŚrednieCVSS 5.4Streszczenie
Yshopmall do wersji 2.0.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w API obsługi posprzedażowej, która pozwala uwierzytelnionym członkom na dostęp do danych innych członków poprzez podanie ich identyfikatora posprzedażowego i orderCode. Atakujący mogą wywoływać deleteAfterSalesOrder, addLogisticsInformation lub GET /applyForAfterSales/{key}, aby przeglądać pozycje zamówień innych członków oraz modyfikować lub usuwać ich rekordy posprzedażowe.
Ocena ryzyka
Atakujący może przeglądać dane zamówień innych użytkowników oraz manipulować lub usuwać ich zgłoszenia posprzedażowe, co może prowadzić do oszustw i naruszenia zaufania klientów.
Rekomendacja
Wprowadzić weryfikację właściciela rekordu posprzedażowego we wszystkich powiązanych endpointach, aby użytkownicy mogli operować wyłącznie na własnych zgłoszeniach, oraz zabezpieczyć identyfikatory przed enumeracją.
Inne podatności w Yshopmall
Zobacz wszystkie- CVE-2026-110119Wysokie
Yshopmall w wersji do 2.0.0 zawiera podatność typu niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) w API adresów członków. Uwierzytelnieni użytkownicy mogą odczytywać, nadpisywać i usuwać adresy dostaw innych użytkowników poprzez enumerację identyfikatorów adresów w punktach końcowych /address/detail/{id}, /address/del i /address/edit.
- CVE-2026-75308Średnie
W yshopmall w wersji 3.3 i wcześniejszych występuje podatność na Cross Site Scripting (XSS). Endpoint do przesyłania plików /api/upload nie waliduje typów plików. Atakujący mogą przesyłać pliki dowolnego typu, w tym HTML, JSP i inne pliki wykonywalne.
Oryginalny opis (angielski, źródło NVD)
Yshopmall through 2.0.0 contains an insecure direct object reference vulnerability in the after-sales API that allows authenticated members to access other members' data by supplying their after-sales id and orderCode. Attackers can call deleteAfterSalesOrder, addLogisticsInformation, or GET /applyForAfterSales/{key} to view other members' order items and tamper with or delete their after-sales records.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS