CVE-2026-110122
ŚrednieCVSS 4.3Streszczenie
PickMall lilishop do wersji 4.4 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym sprzedawcom na zmianę szablonów frachtu produktów innych sklepów poprzez PUT /store/goods/goods/freight. Metody GoodsServiceImpl.freight i GoodsSkuServiceImpl.freight aktualizują towary i SKU po identyfikatorze bez sprawdzania zakresu sklepu.
Ocena ryzyka
Sprzedawcy mogą przypisywać własne szablony do produktów konkurencji i zmieniać koszty wysyłki, co może prowadzić do nieuczciwej konkurencji i błędnych opłat dla klientów.
Rekomendacja
Dodać weryfikację przynależności sklepu w metodach aktualizacji frachtu, aby sprzedawcy mogli modyfikować wyłącznie szablony własnych produktów, oraz przeprowadzić audyt istniejących przypisań.
Inne podatności w PickMall lilishop
Zobacz wszystkie- CVE-2026-110121Średnie
PickMall lilishop do wersji 4.4 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym sprzedawcom na nadpisanie produktu dowolnego sklepu poprzez podanie goodsId innego sklepu do endpointu aktualizacji. Atakujący mogą wysyłać żądania PUT do /store/goods/goods/update/{goodsId}, aby zastąpić szczegóły produktu i SKU oraz przypisać produkty do własnego sklepu.
- CVE-2026-105571Wysokie
Wykryto podatność w PickMall Lilishop do wersji 4.2.4. Problem dotyczy nieznanej funkcji w pliku /buyer/passport/member/bindMobile w komponencie Mobile Binding. Manipulacja argumentem Username powoduje nieprawidłową autoryzację. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
Oryginalny opis (angielski, źródło NVD)
PickMall lilishop through 4.4 contains an insecure direct object reference vulnerability that allows authenticated sellers to change other stores' product freight templates via PUT /store/goods/goods/freight. GoodsServiceImpl.freight and GoodsSkuServiceImpl.freight update goods and SKUs by id without store-scoped checks, letting sellers bind their own templates to competitors' products and alter shipping charges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS