CVE-2026-12204

WysokieCVSS 7.3

Opublikowano: 15/06/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

W ShopXO do wersji 6.7.1 stwierdzono podatność w funkcjach OrderClose, OrderSuccess, PayLogOrderClose i GoodsGiveIntegral w pliku app/api/controller/Crontab.php komponentu Scheduled Task Endpoint. Manipulacja może prowadzić do obejścia autoryzacji. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

Ocena ryzyka

Nieautoryzowany atakujący może ominąć mechanizmy autoryzacji i wykonać operacje zarezerwowane dla uprawnionych użytkowników, co może prowadzić do naruszenia integralności danych.

Rekomendacja

Zaktualizuj ShopXO do najnowszej wersji, która zawiera poprawkę, lub zastosuj dostępne łatki bezpieczeństwa.

Inne podatności w ShopXO

CVE-2026-96898Wysokie
W systemie ShopXO w wersjach do 2.2.7 wykryto podatność w nieznanej funkcjonalności pliku config/ueditor.php komponentu Ueditor Upload Interface. Manipulacja argumentem path_type prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in ShopXO up to 6.7.1. This vulnerability affects the function OrderClose/OrderSuccess/PayLogOrderClose/GoodsGiveIntegral of the file app/api/controller/Crontab.php of the component Scheduled Task Endpoint. Executing a manipulation can lead to authorization bypass. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS