Podatności Jeepay
3 znanych podatności CVE w Jeepay, przetłumaczonych i ocenionych.
- CVE-2026-111608Średnie
Jeepay do wersji 3.2.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom-merchantom usuwać odbiorców podziału prowizji innych merchantów poprzez wykorzystanie błędnej kolumny w kontroli własności. Atakujący posiadający uprawnienie ENT_DIVISION_RECEIVER_DELETE i grupę odbiorców o identyfikatorze zgodnym z identyfikatorem ofiary może usunąć odbiorcę podziału zysków ofiary.
- CVE-2026-111607Wysokie
Jeepay do wersji 3.2.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom-merchantom nadpisać konfigurację kanału płatności innej aplikacji merchanta, podając identyfikator infoId ofiary do MchPayInterfaceConfigController.saveOrUpdate. Atakujący posiadający domyślne uprawnienie ENT_MCH_PAY_CONFIG_ADD może zastąpić klucze podpisu, certyfikaty i stawki opłat, aby zakłócić lub przekierować przetwarzanie płatności ofiary.
- CVE-2026-18631Średnie
Podatność w jeequan jeepay do wersji 3.2.9 włącznie, dotycząca funkcji WebSecurityConfig w pliku jeepay-manager/src/main/java/com/jeequan/jeepay/mgr/ctrl/sysuser/SysLogController.java w komponencie PreAuthorize Handler, prowadzi do obejścia autoryzacji. Atak może być zainicjowany zdalnie, a exploit jest publicznie dostępny.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS