CVE-2026-111647

ŚrednieCVSS 4.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

PickMall lilishop do wersji 5.0.0 zawiera podatność typu IDOR, która pozwala uwierzytelnionym kupującym na odczyt rekordów faktur innych kupujących, ponieważ ReceiptServiceImpl.getDetail nie sprawdza własności. Atakujący mogą podać identyfikator paragonu innego kupującego do GET /buyer/trade/receipt/{id}, aby uzyskać tytuły faktur, numery identyfikacji podatkowej, numery zamówień, identyfikatory i nazwy członków.

Ocena ryzyka

Uwierzytelniony kupujący może uzyskać dostęp do danych faktur innych kupujących, co prowadzi do naruszenia poufności danych osobowych i finansowych. Organizacja może ponieść konsekwencje prawne i utratę zaufania klientów.

Rekomendacja

Zaktualizuj lilishop do wersji nowszej niż 5.0.0, jeśli jest dostępna, lub dodaj kontrolę własności w ReceiptServiceImpl.getDetail. Ogranicz dostęp do endpointu /buyer/trade/receipt/{id} i monitoruj nietypowe żądania.

Inne podatności w lilishop

CVE-2026-105572Średnie
W PickMall Lilishop do wersji 4.2.4 wykryto podatność w pliku /buyer/trade/receipt, w komponencie listy faktur kupującego. Manipulacja argumentem memberId prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

PickMall lilishop through 5.0.0 contains an insecure direct object reference vulnerability that allows authenticated buyers to read other buyers' invoice records because ReceiptServiceImpl.getDetail performs no ownership check. Attackers can supply another buyer's receipt id to GET /buyer/trade/receipt/{id} to obtain invoice titles, taxpayer identification numbers, order numbers, member ids and member names.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS