Podatności Yshopmall
3 znanych podatności CVE w Yshopmall, przetłumaczonych i ocenionych.
- CVE-2026-110120Średnie
Yshopmall do wersji 2.0.0 zawiera podatność niezabezpieczonego odwołania do obiektu (IDOR) w API obsługi posprzedażowej, która pozwala uwierzytelnionym członkom na dostęp do danych innych członków poprzez podanie ich identyfikatora posprzedażowego i orderCode. Atakujący mogą wywoływać deleteAfterSalesOrder, addLogisticsInformation lub GET /applyForAfterSales/{key}, aby przeglądać pozycje zamówień innych członków oraz modyfikować lub usuwać ich rekordy posprzedażowe.
- CVE-2026-110119Wysokie
Yshopmall w wersji do 2.0.0 zawiera podatność typu niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) w API adresów członków. Uwierzytelnieni użytkownicy mogą odczytywać, nadpisywać i usuwać adresy dostaw innych użytkowników poprzez enumerację identyfikatorów adresów w punktach końcowych /address/detail/{id}, /address/del i /address/edit.
- CVE-2026-75308Średnie
W yshopmall w wersji 3.3 i wcześniejszych występuje podatność na Cross Site Scripting (XSS). Endpoint do przesyłania plików /api/upload nie waliduje typów plików. Atakujący mogą przesyłać pliki dowolnego typu, w tym HTML, JSP i inne pliki wykonywalne.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS