CVE-2026-110608

ŚrednieCVSS 5.4

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

BizSpring Shop do commita cf22d39daaf1 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w handlerach cancel i receive kontrolera OrderController, która pozwala uwierzytelnionym członkom na działanie na zamówieniach innych członków poprzez podanie ich orderId. Atakujący mogą anulować oczekujące zamówienia ofiar, aby zwolnić przydzielony zapas lub potwierdzić odbiór wysłanych zamówień, przyspieszając realizację i rozliczenie bez zgody ofiary.

Ocena ryzyka

Atakujący może manipulować zamówieniami innych użytkowników, powodując nieautoryzowane anulowanie lub potwierdzenie odbioru, co prowadzi do strat finansowych i zakłóceń w realizacji zamówień.

Rekomendacja

Zaktualizuj BizSpring Shop do wersji nowszej niż commit cf22d39daaf1, jeśli jest dostępna, lub wdróż kontrolę własności orderId w handlerach cancel i receive. Upewnij się, że użytkownicy mogą działać tylko na własnych zamówieniach.

Inne podatności w BizSpring Shop

CVE-2026-110607Średnie
BizSpring Shop do commita cf22d39daaf1 zawiera podatność obejścia weryfikacji płatności, która pozwala uwierzytelnionym kupującym na oznaczenie zamówień jako opłaconych poprzez wywołanie handlera PaymentController.testPostPay. Atakujący mogą wygenerować log płatności poprzez /member/payment/load i zażądać /member/payment/test_post_pay_{paymentLogSn}, aby otrzymać towar bez płacenia lub rozliczyć zamówienia innych członków.

Oryginalny opis (angielski, źródło NVD)

BizSpring Shop through commit cf22d39daaf1 contains an insecure direct object reference vulnerability in the OrderController cancel and receive handlers that allows authenticated members to act on other members' orders by supplying their orderId. Attackers can cancel victims' pending orders to release allocated stock or confirm receipt of shipped orders, advancing fulfilment and settlement without the victim's consent.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS