CVE-2026-85177
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
CRMEB do wersji 6.0.0 nie weryfikuje własności wiadomości w handlerze edit_message w MessageSystemController.php, co pozwala uwierzytelnionym użytkownikom na modyfikację dowolnych systemowych wiadomości w skrzynce odbiorczej. Atakujący mogą aktualizować dowolne kolumny wiadomości, w tym is_del, look i uid, aby usuwać, oznaczać jako przeczytane lub przypisywać powiadomienia ofiar bez autoryzacji.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności i poufności wiadomości systemowych, co może prowadzić do manipulacji powiadomieniami i potencjalnie do oszustw lub dezinformacji.
Rekomendacja
Zaleca się wdrożenie kontroli własności zasobów w handlerze edit_message, aby użytkownicy mogli modyfikować tylko własne wiadomości, oraz aktualizację CRMEB do najnowszej wersji.
Inne podatności w CRMEB
Zobacz wszystkie- CVE-2023-30185Krytyczne
W systemie CRMEB w wersjach od 4.4 do 4.6 wykryto podatność umożliwiającą dowolne przesyłanie plików. Luka znajduje się w komponencie \attachment\SystemAttachmentServices.php.
- CVE-2020-25466Krytyczne
Podatność SSRF w interfejsie downloadimage systemu CRMEB 3.0 umożliwia zdalne pobieranie dowolnych plików z serwera oraz zdalne wykonanie dowolnego kodu.
- CVE-2026-111359Wysokie
W CRMEB od wersji 5.6.1 do 6.0.0 występuje podatność niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom sklepu odczytywać i przejmować zamówienia innych użytkowników poprzez API zamówień prezentowych. Atakujący mogą enumerować sekwencyjne identyfikatory zamówień w gift_detail, aby pozyskać tożsamości kupujących i gift_key, a następnie wywołać receive_gift, aby przekierować opłacone towary na swój adres.
- CVE-2026-79425Wysokie
Uwierzytelniona podatność Server-Side Request Forgery (SSRF) w komponencie /adminapi/file/online_upload w CRMEB v6.0.0 pozwala atakującym na skanowanie zasobów wewnętrznych poprzez spreparowane żądanie POST.
- CVE-2026-79426Wysokie
W CRMEB v6.0.0 występuje podatność na dowolne usuwanie plików w komponencie /adminapi/file/video_data_save. Uwierzytelniony atakujący może usunąć dowolne pliki poprzez spreparowane żądanie POST.
- CVE-2026-85212Wysokie
CRMEB zawiera podatność na obejście uwierzytelniania w metodzie verifyAuth() w SystemRoleServices.php, która zwraca true z obu gałęzi warunkowych. Pod-administratorzy i konta bez ról mogą uzyskać dostęp do ograniczonych punktów końcowych administratora, wykorzystując nieaktywne sprawdzanie ról, które zawsze zezwala na żądania.
- CVE-2025-15443Średnie
W CRMEB do wersji 5.6.1 wykryto podatność w pliku /adminapi/product/product_export. Manipulacja argumentem cate_id prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.
- CVE-2025-15442Średnie
W CRMEB do wersji 5.6.1 wykryto podatność w pliku /adminapi/export/product_list. Manipulacja argumentem cate_id prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
CRMEB through 6.0.0 fails to validate message ownership in the edit_message handler of MessageSystemController.php, allowing authenticated users to modify arbitrary system inbox messages. Attackers can update any message's columns including is_del, look, and uid to delete, mark read, or reassign victim notifications without authorization.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS