CVE-2026-110128
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
fuint do commit 4c4bc8a zawiera podatność braku uwierzytelnienia, która pozwala nieuwierzytelnionym atakującym na pobranie szczegółów zamówień dowolnego członka przez endpoint /clientApi/order/detail. Atakujący mogą enumerować sekwencyjne wartości orderId bez tokena dostępu, ujawniając dane osobowe kupujących.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych danych osobowych, takich jak imiona, numery PESEL, telefony, adresy, WeChat openIds i kody weryfikacyjne, co może prowadzić do kradzieży tożsamości i naruszenia prywatności.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub aktualizację fuint do wersji zawierającej poprawkę, a także wdrożenie uwierzytelnienia na tym endpointcie.
Inne podatności w fuint
Zobacz wszystkie- CVE-2026-111705Średnie
Fuint do commita 57ec018 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym członkom na odczyt rekordów rezerwacji innych członków poprzez podanie dowolnych wartości bookId do /clientApi/book/myBookDetail. Atakujący mogą iterować autoinkrementowany bookId, aby pobrać nazwiska kontaktowe, numery telefonów, kody weryfikacyjne w sklepie, daty usług, sklepy i uwagi.
- CVE-2025-12623Niskie
W fushengqian fuint do wersji 41e26be8a2c609413a0feaa69bdad33a71ae8032 zidentyfikowano podatność w pliku fuint-application/src/main/java/com/fuint/module/clientApi/controller/ClientSignController.java w komponencie Authentication Token Handler. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Ataki tego typu są bardzo złożone, a wykorzystanie trudne. Exploit jest publicznie dostępny i może być użyty. Produkt działa w modelu rolling release, więc nie ma szczegółów wersji.
Oryginalny opis (angielski, źródło NVD)
fuint through commit 4c4bc8a contains a missing authentication vulnerability that allows unauthenticated attackers to retrieve any member's order details via the /clientApi/order/detail endpoint. Attackers can enumerate sequential orderId values without an Access-Token to expose buyer names, national ID numbers, phone numbers, addresses, WeChat openIds and verification codes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS