CVE-2026-72843
KrytyczneCVSS 9.8Streszczenie
W EverShop trasa aktualizacji klienta jest zadeklarowana jako publiczna, co powoduje, że middleware uwierzytelniania administratora wywołuje next() bez sprawdzenia wywołującego, a żaden middleware sesji klienta nie chroni trasy. Nieuwierzytelnione żądanie ze znanym uuid klienta może nadpisać adres e-mail i hasło klienta, przejmując konto. Wersja 2.2.1 zmienia trasę na prywatną.
Ocena ryzyka
Atakujący bez uwierzytelnienia może przejąć konta klientów, co może prowadzić do kradzieży danych osobowych i nieautoryzowanych działań w systemie.
Rekomendacja
Zaktualizuj EverShop do wersji 2.2.1 lub nowszej, która zmienia trasę na prywatną, i sprawdź logi pod kątem nieautoryzowanych zmian kont.
Oryginalny opis (angielski, źródło NVD)
The customer update route in EverShop is declared with "access": "public" in packages/evershop/src/modules/customer/api/updateCustomer/route.json, which causes the admin authentication middleware to call next() without checking the caller, and no customer-session middleware guards the route; the only middleware in the chain parses the JSON body. The handler in updateCustomer.js then loads the customer by the uuid taken from the URL path and writes the supplied fields back to that record, hashing a password if one is provided, without verifying that the caller owns the record. An unauthenticated request carrying a known customer uuid can therefore overwrite that customer's email address and password and read back the updated record from the 200 response, taking over the account and locking out its owner. Customer uuids are exposed through order confirmation email links and administrative URLs. Version 2.2.1 changes the route to "access": "private".