CVE-2026-18412

OpenCart w wersji 3.0.3.8 zawiera podatność na fikcję sesji, która pozwala atakującym na przejęcie sesji użytkowników poprzez wstrzykiwanie dowolnych wartości do ciasteczka OCSESSID. Atakujący mogą ustawić złośliwe wartości ciasteczka OCSESSID, które serwer akceptuje i utrzymuje, co umożliwia przejęcie sesji i nieautoryzowany dostęp do kont użytkowników.

Podatność wykryto w OpenCart 4.1.0.3/4.1.0.4. Dotyczy ona nieznanej funkcji w pliku catalog/controller/account/edit.php komponentu Autocomplete Workflow. Manipulacja argumentem firstname powoduje cross site scripting. Atak może być zainicjowany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

Podatność wykryto w OpenCart 4.1.0.3/4.1.0.4. Dotyczy ona nieznanej funkcji w pliku catalog/controller/account/address.php komponentu Autocomplete Workflow. Manipulacja argumentem address_1 prowadzi do cross site scripting. Atak może być uruchomiony zdalnie. Exploit został upubliczniony i może być użyty. Producent został wcześnie poinformowany, ale nie odpowiedział.

OpenCart 3.0.3.7 zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), umożliwiającą atakującym zmianę haseł użytkowników poprzez wysłanie spreparowanych żądań do endpointu account/password. Atakujący mogą nakłonić uwierzytelnionych użytkowników do wysłania ukrytych formularzy z nowymi wartościami haseł w parametrach 'password' i 'confirm', co prowadzi do przejęcia kont.

OpenCart 3.0.3.6 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w punkcie końcowym /account/edit, umożliwiającą nieuwierzytelnionym atakującym modyfikację danych konta ofiary poprzez nakłonienie jej do odwiedzenia złośliwej strony. Atakujący może zmienić adres e-mail i wykorzystać resetowanie hasła do przejęcia konta.