CVE-2026-111354
NiskieCVSS 3.1Streszczenie
crmeb_java w wersji do 3.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom odczytywać zamówienia innych członków poprzez podanie ich numerów zamówień. Atakujący może wywołać /api/front/order/express/{orderId} lub /api/front/order/apply/refund/{orderId}, aby zobaczyć numery śledzenia, ślady logistyczne, kwoty płatności i pozycje produktowe ofiar.
Ocena ryzyka
Naruszenie poufności danych zamówień innych użytkowników może prowadzić do wycieku informacji osobowych i finansowych oraz do nadużyć.
Rekomendacja
Zaktualizuj crmeb_java do wersji nowszej niż 3.1, gdy tylko będzie dostępna, oraz wdroż weryfikację uprawnień do zamówień na podstawie tożsamości użytkownika.
Inne podatności w crmeb_java
Zobacz wszystkie- CVE-2026-10771Wysokie
Podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji RestTemplate.getForEntity w pliku RestTemplateUtil.java w systemie crmeb_java 1.4. Atakujący może zdalnie manipulować argumentem URL w endpointcie base64 Qrcode, co prowadzi do nieautoryzowanych żądań serwerowych.
- CVE-2024-28714Wysokie
Podatność SQL Injection w systemie e-commerce CRMEB_Java w wersji 1.3.4 umożliwia atakującemu wykonanie dowolnego kodu poprzez parametr groupid.
Oryginalny opis (angielski, źródło NVD)
crmeb_java through 3.1 contains an authorization bypass vulnerability that allows authenticated members to read other members' orders by supplying their order numbers. Attackers can request /api/front/order/express/{orderId} or /api/front/order/apply/refund/{orderId} to view victims' tracking numbers, logistics traces, payment amounts and product lines.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS