Podatności crmeb_java
3 znanych podatności CVE w crmeb_java, przetłumaczonych i ocenionych.
- CVE-2026-111354Niskie
crmeb_java w wersji do 3.1 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom odczytywać zamówienia innych członków poprzez podanie ich numerów zamówień. Atakujący może wywołać /api/front/order/express/{orderId} lub /api/front/order/apply/refund/{orderId}, aby zobaczyć numery śledzenia, ślady logistyczne, kwoty płatności i pozycje produktowe ofiar.
- CVE-2026-10771Wysokie
Podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji RestTemplate.getForEntity w pliku RestTemplateUtil.java w systemie crmeb_java 1.4. Atakujący może zdalnie manipulować argumentem URL w endpointcie base64 Qrcode, co prowadzi do nieautoryzowanych żądań serwerowych.
- CVE-2024-28714Wysokie
Podatność SQL Injection w systemie e-commerce CRMEB_Java w wersji 1.3.4 umożliwia atakującemu wykonanie dowolnego kodu poprzez parametr groupid.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS