CVE-2026-72843

Nome do Software Vulnerável e Versões Afetadas EverShop versões anteriores a 2.2.1

Description Uma falha de autorização existe na rota de atualização de clientes. A rota está incorretamente configurada como pública, permitindo que o middleware de autenticação de administrador ignore a verificação do chamador. Além disso, a rota carece de proteção por middleware de sessão do cliente. O manipulador em updateCustomer.js processa atualizações com base em um uuid fornecido no caminho da URL sem verificar se o solicitante é o proprietário do registro. Isso permite que um invasor não autenticado com um uuid de cliente conhecido sobrescreva o endereço de e-mail e a senha de um cliente através do endpoint PATCH '/api/customers/:id', resultando no sequestro total da conta. Os valores de uuid de clientes podem ser expostos por meio de URLs administrativas e links de e-mail de confirmação de pedido.

Recommendations Atualizar para a versão 2.2.1.