CVE-2026-96599

ŚrednieCVSS 5.9

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Isotope eCommerce do wersji 2.9.10 wyprowadza identyfikatory zamówień z funkcji uniqid() zamiast z kryptograficznie bezpiecznego źródła, co pozwala nieuwierzytelnionym atakującym na zgadywanie identyfikatorów. Zamówienia gości nie mają weryfikacji własności, co umożliwia atakującym dostęp do szczegółów zamówienia, w tym adresu rozliczeniowego, danych klienta i zakupionych plików, poprzez podanie zgadniętego parametru uid.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do danych zamówień i plików, co może naruszyć prywatność klientów i bezpieczeństwo transakcji.

Rekomendacja

Należy zaktualizować Isotope eCommerce do wersji zawierającej poprawkę oraz używać kryptograficznie bezpiecznych generatorów identyfikatorów i weryfikować własność zamówień.

Inne podatności w Isotope eCommerce

CVE-2026-96600Średnie
Isotope eCommerce do wersji 2.9.10 zawiera podatność na ślepą iniekcję SQL w wywołaniach zwrotnych backendu, które interpolują identyfikatory kontrolowane przez żądanie i wartości dostarczane przez administratora bezpośrednio do zapytań SQL. Uwierzytelnieni użytkownicy backendu Contao z uprawnieniami modułu Isotope mogą wykorzystać warunkowe i czasowe ładunki iniekcji, aby wyodrębnić dowolną zawartość bazy danych, w tym hasła użytkowników z tabeli tl_user.

Oryginalny opis (angielski, źródło NVD)

Isotope eCommerce through 2.9.10 derives order identifiers from uniqid() instead of a cryptographically secure source, allowing unauthenticated attackers to guess identifiers. Guest orders lack ownership verification, enabling attackers to access order details including billing address, customer information, and purchased files by supplying a guessed uid parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS