CVE-2026-110121
ŚrednieCVSS 6.5Streszczenie
PickMall lilishop do wersji 4.4 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym sprzedawcom na nadpisanie produktu dowolnego sklepu poprzez podanie goodsId innego sklepu do endpointu aktualizacji. Atakujący mogą wysyłać żądania PUT do /store/goods/goods/update/{goodsId}, aby zastąpić szczegóły produktu i SKU oraz przypisać produkty do własnego sklepu.
Ocena ryzyka
Sprzedawcy mogą przejmować produkty innych sklepów, modyfikować ich dane i przypisywać je do siebie, co prowadzi do utraty kontroli nad asortymentem i potencjalnych strat biznesowych.
Rekomendacja
Wprowadzić kontrolę właściciela sklepu w endpointcie aktualizacji produktu, aby sprzedawcy mogli edytować wyłącznie własne produkty, oraz zweryfikować integralność przypisań produktów do sklepów.
Inne podatności w PickMall lilishop
Zobacz wszystkie- CVE-2026-110122Średnie
PickMall lilishop do wersji 4.4 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym sprzedawcom na zmianę szablonów frachtu produktów innych sklepów poprzez PUT /store/goods/goods/freight. Metody GoodsServiceImpl.freight i GoodsSkuServiceImpl.freight aktualizują towary i SKU po identyfikatorze bez sprawdzania zakresu sklepu.
- CVE-2026-105571Wysokie
Wykryto podatność w PickMall Lilishop do wersji 4.2.4. Problem dotyczy nieznanej funkcji w pliku /buyer/passport/member/bindMobile w komponencie Mobile Binding. Manipulacja argumentem Username powoduje nieprawidłową autoryzację. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
Oryginalny opis (angielski, źródło NVD)
PickMall lilishop through 4.4 contains an insecure direct object reference vulnerability that allows authenticated sellers to overwrite any store's product by supplying another store's goodsId to the goods update endpoint. Attackers can send PUT requests to /store/goods/goods/update/{goodsId} to replace product details and SKUs and reassign products to their own store.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS