PT-2026-95156 · Cubecart · Cubecart
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
CubeCart versões anteriores a 6.7.5
Description
Existe uma falha de bypass de autorização nas ferramentas de GDPR localizadas no arquivo
admin/sources/customers.gdpr.inc.php. O sistema depende do acesso de nível de página CC PERM READ e não exige a permissão CC PERM DELETE para os comandos purge, no order purge e delete guests. Consequentemente, um administrador autenticado com privilégios de apenas leitura de clientes pode invocar diretamente essas ações de backend para ignorar as restrições da interface e excluir irreversivelmente registros de clientes, contas sem pedidos ou contas de convidados, comprometendo a integridade e a disponibilidade dos dados.Recommendations
Atualizar para a versão 6.7.5.
Exploit
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cubecart