CVE-2026-102364

Nome do Software Vulnerável e Versões Afetadas mall4j versões anteriores a 4.1

Descrição O software falha ao validar o campo sysType nas sessões sa-token. Isso permite que clientes da loja virtual se autentiquem como usuários de back-office reutilizando seus tokens de sessão. Um invasor pode se registrar na loja pública e usar seu token de sessão de cliente para acessar endpoints administrativos que carecem de verificações de permissão @PreAuthorize, incluindo listagens de menu, uploads de arquivos e endpoints de configuração.

Recomendações Atualize o mall4j para uma versão posterior a 4.0.