CVE-2026-111348

ŚrednieCVSS 5.4

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

Likeshop do wersji 3.5.1 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w AfterSale.php i AfterSaleLogic.php, umożliwiającą uwierzytelnionym użytkownikom dostęp do rekordów posprzedażowych innych klientów poprzez podanie ich identyfikatorów. Atakujący z samodzielnie zarejestrowanymi kontami mogą wywoływać akcje detail, goodsInfo, cancel, express i again, aby odczytywać dane o zwrotach i zamówieniach, anulować zwroty, nadpisywać szczegóły przesyłki zwrotnej lub ponownie otwierać odrzucone zwroty.

Ocena ryzyka

Uwierzytelnieni użytkownicy mogą uzyskać dostęp do danych posprzedażowych innych klientów i modyfikować je, co prowadzi do naruszenia poufności i integralności danych.

Rekomendacja

Zaktualizuj Likeshop do wersji nowszej niż 3.5.1, jeśli jest dostępna, lub wdroż kontrole autoryzacji dla akcji posprzedażowych.

Inne podatności w Likeshop

CVE-2026-65707Średnie
Likeshop do wersji 3.0.5 zawiera uwierzytelnioną podatność SQL injection w endpointcie adjustAccount, umożliwiającą administratorom ekstrakcję dowolnych danych z bazy poprzez niesanitowane parametry POST.

Oryginalny opis (angielski, źródło NVD)

Likeshop through 3.5.1 contains an insecure direct object reference vulnerability in AfterSale.php and AfterSaleLogic.php that lets authenticated users access other customers' after-sale records by supplying their ids. Attackers with self-registered accounts can call the detail, goodsInfo, cancel, express, and again actions to read refund and order data, cancel refunds, overwrite return shipment details, or re-open refused refunds.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS