CVE-2021-42193

nopCommerce przed wersją 5.00.0 zawiera podatność braku autoryzacji w handlerach administracyjnych ProductController RelatedProductAddPopup, CrossSellProductAddPopup i AssociatedProductAddPopup, które nie weryfikują własności produktu nadrzędnego. Uwierzytelnieni sprzedawcy mogą przesłać identyfikator produktu innego sprzedawcy jako model.ProductId, aby wstrzyknąć swoje produkty do list produktów powiązanych, cross-sell i grupowych ofiary.

nopCommerce 4.90.0 jest podatny na Cross-Site Request Forgery (CSRF) poprzez funkcję Schedule Tasks.

nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) w funkcjonalności zarządzania produktami. Złośliwe ładunki wstawione w pola "Product Name" i "Short Description" są przechowywane w bazie danych i wykonywane automatycznie, gdy użytkownik wyświetli dotknięte strony.

nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji zarządzania walutami (Currencies).

nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji wpisów na blogu w obszarze zarządzania treścią.

nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) poprzez funkcjonalność Attributes.

nopCommerce v4.70 i wcześniejsze oraz wersja 4.80.3 nie unieważniają ciasteczek sesji po wylogowaniu lub zakończeniu sesji, co pozwala atakującemu posiadającemu ważne ciasteczko sesji na dostęp do uprzywilejowanych punktów końcowych (np. /admin) nawet po wylogowaniu się legalnego użytkownika, umożliwiając przejęcie sesji. Wersje powyżej 4.70 inne niż 4.80.3 naprawiają tę podatność.

W nopcommerce w wersji 4.50.2 wykryto problem z kontrolą dostępu, który umożliwia atakującym dowolną modyfikację adresu dowolnego klienta za pomocą endpointu addressedit.

W nopCommerce 4.50.1 wykryto podatność na otwarte przekierowanie (open redirect). Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co prowadzi do uwierzytelnienia na stronie nopCommerce i przekierowania na zewnętrzną, złośliwą witrynę.