CVE-2026-111719

ŚrednieCVSS 5.9

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 21/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Roncoo-pay do commita 9428382 zawiera podatność braku autoryzacji w F2FPayController.orderQuery, która pozwala nieuwierzytelnionym atakującym pobierać rekordy płatności poprzez podanie parametru trxNo. Atakujący mogą odgadywać numery transakcji, składające się z prefiksu '7' i identyfikatora snowflake, aby uzyskać pełny zserializowany rekord płatności dowolnego sprzedawcy.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać dostęp do poufnych rekordów płatności innych sprzedawców, co stanowi poważne naruszenie poufności danych. Może to prowadzić do wycieku informacji finansowych i oszustw.

Rekomendacja

Zaktualizuj Roncoo-pay do wersji zawierającej poprawkę. Do czasu wdrożenia rozważ ograniczenie dostępu do punktu końcowego orderQuery i monitorowanie nietypowych zapytań o transakcje.

Inne podatności w Roncoo-pay

CVE-2025-10992Średnie
Wykryto podatność w roncoo-pay do wersji 9428382af21cd5568319eae7429b7e1d0332ff40. Dotyczy ona nieznanej funkcji pliku /user/info/lookupList. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na kontakt.

Oryginalny opis (angielski, źródło NVD)

Roncoo-pay through commit 9428382 contains a missing authorization vulnerability in F2FPayController.orderQuery that allows unauthenticated attackers to retrieve payment records by supplying a trxNo parameter. Attackers can guess transaction numbers, a '7' prefix plus a snowflake ID, to obtain the full serialized payment record of any merchant.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS