CVE-2026-115323
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
EverShop w wersji 1.2.2 przed 2.2.1 zawiera podatność na brak autoryzacji w API adresów klientów, która pozwala nieuwierzytelnionym atakującym zarządzać adresami innych klientów. Atakujący znający identyfikatory UUID klienta i adresu mogą wysyłać żądania POST, PATCH lub DELETE do tras /api/customers/:customer_id/addresses, aby dodawać, modyfikować lub usuwać zapisane adresy wysyłki.
Ocena ryzyka
Nieuwierzytelniony atakujący może modyfikować lub usuwać adresy wysyłki innych klientów, co może prowadzić do błędnych dostaw, naruszenia prywatności i oszustw.
Rekomendacja
Zaktualizuj EverShop do wersji 2.2.1 lub nowszej, która naprawia podatność. Do czasu aktualizacji wdróż dodatkową kontrolę autoryzacji dla tras API adresów klientów.
Inne podatności w EverShop
Zobacz wszystkie- CVE-2025-67419Wysokie
Podatność DoS w evershop 2.1.0 i wcześniejszych pozwala nieuwierzytelnionym atakującym na wyczerpanie zasobów serwera aplikacji poprzez API "GET /images". Aplikacja nie ogranicza wysokości drzewa cieni elementów ani wymiarów kafelków wzorów podczas przetwarzania plików SVG, co prowadzi do nieograniczonego zużycia zasobów i odmowy usługi.
- CVE-2026-72843Krytyczne
W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.
- CVE-2025-12919Niskie
W EverShop (do wersji 2.0.1) w pliku Order.resolvers.js komponentu Order Handler manipulacja argumentem uuid prowadzi do nieprawidłowej kontroli identyfikatorów zasobów. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością i trudną eksploatacją, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
EverShop 1.2.2 before 2.2.1 contains a missing authorization vulnerability in the customer address API that allows unauthenticated attackers to manage other customers' addresses. Attackers who know customer and address UUIDs can send POST, PATCH, or DELETE requests to /api/customers/:customer_id/addresses routes to add, modify, or delete saved shipping addresses.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS