CVE-2026-110126
ŚrednieCVSS 5.4Streszczenie
waynboot-mall do wersji 2.0.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w AddressController. Uwierzytelnieni członkowie mogą modyfikować lub usuwać adresy dostawy innych członków, enumerując kolejne identyfikatory adresów i wysyłając POST /address lub DELETE /address/{addressId}.
Ocena ryzyka
Atakujący może nadpisywać lub usuwać zapisane adresy dostawy ofiar, co może prowadzić do przekierowania przesyłek, utraty danych lub zakłóceń w realizacji zamówień.
Rekomendacja
Wprowadzić kontrolę właściciela adresu w operacjach modyfikacji i usuwania, aby użytkownicy mogli zarządzać wyłącznie własnymi adresami, oraz zabezpieczyć identyfikatory przed enumeracją.
Inne podatności w waynboot-mall
Zobacz wszystkie- CVE-2026-110127Średnie
waynboot-mall do wersji 2.0.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w mobilnym CartController. Uwierzytelnieni członkowie mogą modyfikować lub usuwać pozycje w koszykach innych członków, enumerując kolejne identyfikatory koszyka przez PUT /cart, POST /cart/changeNum i DELETE /cart/{cartId}.
- CVE-2026-110125Średnie
waynboot-mall do wersji 2.0.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym członkom na dostęp i modyfikację zamówień innych członków poprzez podanie ich identyfikatorów. Atakujący mogą enumerować kolejne identyfikatory zamówień lub numery seryjne przez endpointy detail, cancel, confirm, delete i refund.
Oryginalny opis (angielski, źródło NVD)
waynboot-mall through 2.0.0 contains an insecure direct object reference vulnerability in AddressController that allows authenticated members to modify or delete other members' shipping addresses. Attackers can enumerate auto-increment address ids and send POST /address or DELETE /address/{addressId} requests to overwrite or remove victims' saved addresses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS