CVE-2026-111608
ŚrednieCVSS 4.2Streszczenie
Jeepay do wersji 3.2.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom-merchantom usuwać odbiorców podziału prowizji innych merchantów poprzez wykorzystanie błędnej kolumny w kontroli własności. Atakujący posiadający uprawnienie ENT_DIVISION_RECEIVER_DELETE i grupę odbiorców o identyfikatorze zgodnym z identyfikatorem ofiary może usunąć odbiorcę podziału zysków ofiary.
Ocena ryzyka
Możliwość usunięcia odbiorców podziału prowizji innych merchantów może prowadzić do zakłóceń w rozliczeniach finansowych i strat dla poszkodowanych stron. Podważa to integralność systemu płatności i zaufanie do platformy.
Rekomendacja
Zaktualizuj Jeepay do wersji nowszej niż 3.2.9, gdy tylko będzie dostępna, oraz poprawić kontrolę własności w operacji usuwania odbiorcy podziału prowizji. Rozważ audyt logów pod kątem nietypowych operacji ENT_DIVISION_RECEIVER_DELETE.
Inne podatności w Jeepay
Zobacz wszystkie- CVE-2026-111607Wysokie
Jeepay do wersji 3.2.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom-merchantom nadpisać konfigurację kanału płatności innej aplikacji merchanta, podając identyfikator infoId ofiary do MchPayInterfaceConfigController.saveOrUpdate. Atakujący posiadający domyślne uprawnienie ENT_MCH_PAY_CONFIG_ADD może zastąpić klucze podpisu, certyfikaty i stawki opłat, aby zakłócić lub przekierować przetwarzanie płatności ofiary.
- CVE-2026-18631Średnie
Podatność w jeequan jeepay do wersji 3.2.9 włącznie, dotycząca funkcji WebSecurityConfig w pliku jeepay-manager/src/main/java/com/jeequan/jeepay/mgr/ctrl/sysuser/SysLogController.java w komponencie PreAuthorize Handler, prowadzi do obejścia autoryzacji. Atak może być zainicjowany zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Jeepay through 3.2.9 contains an insecure direct object reference vulnerability that allows authenticated merchant users to delete other merchants' division receivers by exploiting an ownership check on the wrong column. Attackers holding ENT_DIVISION_RECEIVER_DELETE who own a receiver group whose id matches a victim's receiver id can delete the victim's profit-sharing receiver.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS