CVE-2026-15186
ŚrednieCVSS 6.3Streszczenie
W macrozheng mall do wersji 1.0.3 wykryto podatność w pliku /returnApply/create komponentu Portal Endpoint. Manipulacja argumentem orderId prowadzi do niekontrolowanego dostępu do zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do zasobów systemu, co może prowadzić do wycieku danych lub manipulacji zamówieniami. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania podatności.
Rekomendacja
Należy natychmiast zaktualizować macrozheng mall do najnowszej wersji, jeśli dostępna, lub zastosować tymczasowe zabezpieczenia, takie jak walidacja argumentu orderId na poziomie aplikacji.
Inne podatności w macrozheng mall
Zobacz wszystkie- CVE-2026-82423Średnie
W macrozheng mall do wersji 1.0.3 wykryto podatność w komponencie Payment Status Endpoint, w pliku /order/paySuccess, gdzie manipulacja argumentem orderId prowadzi do egzekwowania behawioralnego przepływu pracy. Atak może być przeprowadzony zdalnie. Producent usunął zgłoszenie GitHub bez wyjaśnienia.
- CVE-2026-82364Średnie
Wykryto podatność w systemie macrozheng mall do wersji 1.0.3. Dotyczy nieznanej funkcji w pliku /order/submit komponentu Order Submission. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie, ale jest uważany za trudny do wykorzystania. Producent usunął zgłoszenie GitHub bez wyjaśnienia.
- CVE-2026-25858Krytyczne
W systemie macrozheng mall w wersji 1.0.3 i wcześniejszych występuje podatność w procesie resetowania hasła w komponencie mall-portal. Nieuwierzytelniony atakujący może zresetować hasło dowolnego użytkownika, znając jedynie jego numer telefonu. Jednorazowe hasło (OTP) jest zwracane w odpowiedzi API, a weryfikacja resetowania opiera się wyłącznie na porównaniu OTP z wartością przechowywaną dla danego numeru telefonu, bez potwierdzenia tożsamości użytkownika.
- CVE-2026-79406Średnie
Wykryto podatność w macrozheng mall do wersji 1.0.3. Dotyczy ona funkcji OmsCartItemServiceImpl.updateQuantity w pliku /cart/update/quantity. Manipulacja argumentem quantity prowadzi do błędów logiki biznesowej. Atak może być zainicjowany zdalnie. Sprzedawca usunął zgłoszenie GitHub bez wyjaśnienia.
- CVE-2026-10070Średnie
Macrozheng mall do wersji 1.0.3 zawiera podatność na ominięcie autoryzacji w komponencie Super Admin Password Handler w pliku /admin/update/. Atak może być przeprowadzony zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in macrozheng mall up to 1.0.3. This impacts an unknown function of the file /returnApply/create of the component Portal Endpoint. The manipulation of the argument orderId leads to improper control of resource identifiers. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor deleted the GitHub issue for this vulnerability without any explanation.