CVE-2026-117605
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
nopCommerce przed wersją 5.00.0 zawiera podatność braku autoryzacji w handlerach administracyjnych ProductController RelatedProductAddPopup, CrossSellProductAddPopup i AssociatedProductAddPopup, które nie weryfikują własności produktu nadrzędnego. Uwierzytelnieni sprzedawcy mogą przesłać identyfikator produktu innego sprzedawcy jako model.ProductId, aby wstrzyknąć swoje produkty do list produktów powiązanych, cross-sell i grupowych ofiary.
Ocena ryzyka
Sprzedawcy mogą manipulować listami produktów innych sprzedawców, co prowadzi do nieuczciwej konkurencji i wprowadzania klientów w błąd. Może to zaszkodzić reputacji platformy i naruszyć zaufanie między sprzedawcami.
Rekomendacja
Zaktualizuj nopCommerce do wersji 5.00.0 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji administracyjnych związanych z produktami powiązanymi i monitoruj nietypowe zmiany w listach produktów.
Inne podatności w nopCommerce
Zobacz wszystkie- CVE-2025-65593Wysokie
nopCommerce 4.90.0 jest podatny na Cross-Site Request Forgery (CSRF) poprzez funkcję Schedule Tasks.
- CVE-2025-65592Średnie
nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) w funkcjonalności zarządzania produktami. Złośliwe ładunki wstawione w pola "Product Name" i "Short Description" są przechowywane w bazie danych i wykonywane automatycznie, gdy użytkownik wyświetli dotknięte strony.
- CVE-2025-65591Średnie
nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji zarządzania walutami (Currencies).
- CVE-2025-65590Średnie
nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji wpisów na blogu w obszarze zarządzania treścią.
- CVE-2025-65589Średnie
nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) poprzez funkcjonalność Attributes.
- CVE-2025-11699Wysokie
nopCommerce v4.70 i wcześniejsze oraz wersja 4.80.3 nie unieważniają ciasteczek sesji po wylogowaniu lub zakończeniu sesji, co pozwala atakującemu posiadającemu ważne ciasteczko sesji na dostęp do uprzywilejowanych punktów końcowych (np. /admin) nawet po wylogowaniu się legalnego użytkownika, umożliwiając przejęcie sesji. Wersje powyżej 4.70 inne niż 4.80.3 naprawiają tę podatność.
- CVE-2021-42193Średnie
W nopCommerce 4.40.3 odkryto podatność na atak XSS w polu nazwy produktu na stronie /Admin/Product/Edit/[id]. Za każdym razem, gdy użytkownik przegląda produkt w sklepie, ładunek XSS jest wykonywany.
- CVE-2022-33077Wysokie
W nopcommerce w wersji 4.50.2 wykryto problem z kontrolą dostępu, który umożliwia atakującym dowolną modyfikację adresu dowolnego klienta za pomocą endpointu addressedit.
- CVE-2022-27461Średnie
W nopCommerce 4.50.1 wykryto podatność na otwarte przekierowanie (open redirect). Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co prowadzi do uwierzytelnienia na stronie nopCommerce i przekierowania na zewnętrzną, złośliwą witrynę.
Oryginalny opis (angielski, źródło NVD)
nopCommerce before 5.00.0 contains a missing authorization vulnerability in the admin ProductController RelatedProductAddPopup, CrossSellProductAddPopup and AssociatedProductAddPopup handlers that fail to verify parent product ownership. Authenticated vendors can submit another vendor's product id as model.ProductId to inject their products into the victim's related-products, cross-sell and grouped-product listings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS