CVE-2026-110607

ŚrednieCVSS 6.5

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

BizSpring Shop do commita cf22d39daaf1 zawiera podatność obejścia weryfikacji płatności, która pozwala uwierzytelnionym kupującym na oznaczenie zamówień jako opłaconych poprzez wywołanie handlera PaymentController.testPostPay. Atakujący mogą wygenerować log płatności poprzez /member/payment/load i zażądać /member/payment/test_post_pay_{paymentLogSn}, aby otrzymać towar bez płacenia lub rozliczyć zamówienia innych członków.

Ocena ryzyka

Atakujący może uzyskać towary bez dokonania płatności lub rozliczyć zamówienia innych użytkowników, co prowadzi do strat finansowych i naruszenia integralności systemu płatności.

Rekomendacja

Zaktualizuj BizSpring Shop do wersji nowszej niż commit cf22d39daaf1, jeśli jest dostępna, lub usuń/wyłącz handler testPostPay w środowisku produkcyjnym. Wdróż dodatkowe kontrole weryfikacji płatności.

Inne podatności w BizSpring Shop

CVE-2026-110608Średnie
BizSpring Shop do commita cf22d39daaf1 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w handlerach cancel i receive kontrolera OrderController, która pozwala uwierzytelnionym członkom na działanie na zamówieniach innych członków poprzez podanie ich orderId. Atakujący mogą anulować oczekujące zamówienia ofiar, aby zwolnić przydzielony zapas lub potwierdzić odbiór wysłanych zamówień, przyspieszając realizację i rozliczenie bez zgody ofiary.

Oryginalny opis (angielski, źródło NVD)

BizSpring Shop through commit cf22d39daaf1 contains a payment verification bypass vulnerability that allows authenticated buyers to mark orders paid by calling the PaymentController.testPostPay handler. Attackers can generate a payment log via /member/payment/load and request /member/payment/test_post_pay_{paymentLogSn} to obtain goods without paying or settle other members' orders.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS