PT-2026-121361
CVE-2026-115323
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
EverShop الإصدارات من 1.2.2 إلى 2.2.0
Description
يوجد خلل في التصريح في واجهة برمجة تطبيقات (API) عناوين العملاء، مما يسمح للمهاجمين غير المصرح لهم بإدارة عناوين عملاء آخرين. يمكن للمهاجمين الذين يعرفون
customer id ومعرفات UUID الخاصة بالعناوين تنفيذ إجراءات غير مصرح بها عن طريق إرسال طلبات POST أو PATCH أو DELETE إلى نقطة النهاية '/api/customers/:customer id/addresses' لإضافة أو تعديل أو حذف عناوين الشحن المحفوظة.Recommendations
تحديث EverShop إلى الإصدار 2.2.1 أو إصدار أحدث.
تقييد الوصول إلى نقطة النهاية '/api/customers/:customer id/addresses' للمستخدمين المصرح لهم فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾