CVE-2023-36331

Wysokie

Opublikowano: 12/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

W aplikacji xmall v1.1 w interfejsie API /member/orderList występuje nieprawidłowa kontrola dostępu. Atakujący może manipulować parametrem zapytania userId, aby uzyskać dostęp do szczegółów zamówień innych użytkowników.

Ocena ryzyka

Podatność umożliwia nieautoryzowany dostęp do danych zamówień innych użytkowników, co może prowadzić do naruszenia prywatności i wycieku danych klientów.

Rekomendacja

Zaleca się wdrożenie odpowiedniej kontroli dostępu na poziomie API, aby upewnić się, że użytkownik może uzyskać dostęp tylko do własnych zamówień.

Inne podatności w xmall

CVE-2025-65540Średnie
W xmall v1.1 występuje wiele podatności Cross-Site Scripting (XSS) z powodu niewłaściwego obsługi danych dostarczanych przez użytkownika. Pola takie jak username i description są renderowane bezpośrednio w HTML bez sanityzacji, co pozwala na wstrzyknięcie i wykonanie złośliwych skryptów.

Oryginalny opis (angielski, źródło NVD)

Incorrect access control in the /member/orderList API of xmall v1.1 allows attackers to arbitrarily access other users' order details via manipulation of the query parameter userId.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS