CVE-2025-10422
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W newbee-mall do wersji 613a662adf1da7623ec34459bc83e3c1b12d8ce7 funkcja paySuccess w pliku /paySuccess (komponent Order Status Handler) jest podatna na manipulację argumentem orderNo prowadzącą do niewłaściwej autoryzacji. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może zdalnie zmieniać stan zamówień bez odpowiednich uprawnień, co może prowadzić do nadużyć finansowych lub ujawnienia danych. Publiczna dostępność exploita zwiększa ryzyko.
Rekomendacja
Wdróż poprawkę lub obejście od dostawcy, jeśli jest dostępne, oraz zweryfikuj kontrolę autoryzacji dla operacji zmiany statusu zamówienia. Monitoruj podejrzane żądania do /paySuccess.
Inne podatności w newbee-mall
Zobacz wszystkie- CVE-2026-26219Krytyczne
Podatność w newbee-mall polega na przechowywaniu haseł użytkowników za pomocą niesolonego algorytmu MD5. Brak per-użytkowniczych soli i kontroli kosztów obliczeniowych umożliwia atakującym szybkie odzyskanie haseł w postaci jawnej po uzyskaniu skrótów z bazy danych lub kopii zapasowych.
- CVE-2026-26218Krytyczne
Podatność w projekcie newbee-mall polega na tym, że skrypt inicjalizacyjny bazy danych zawiera predefiniowane konta administratorów z domyślnym, łatwym do odgadnięcia hasłem. Jeśli wdrożenie używa tego skryptu i nie zmieni domyślnych danych logowania, nieuwierzytelniony atakujący może zalogować się jako administrator i przejąć pełną kontrolę nad aplikacją.
- CVE-2026-105573Średnie
W newbee-ltd newbee-mall do wersji 2.7.5 wykryto podatność w pliku /jshERP-boot/accountHead/updateAccountHeadAndDetail, w komponencie obsługi ilości w koszyku. Manipulacja argumentem goodsCount prowadzi do błędów logiki biznesowej. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-94045Niskie
W aplikacji newbee-mall (do wersji 1.0.0) wykryto podatność typu cross-site scripting (XSS) w pliku controller/common/UploadController.java, w komponencie odpowiedzialnym za zapis towarów. Manipulacja argumentem goodsName pozwala na zdalne wstrzyknięcie złośliwego kodu. Exploit został publicznie ujawniony i może być wykorzystany do ataków.
- CVE-2025-10423Niskie
W newbee-mall 1.0 funkcja mallKaptcha w pliku /common/mall/kaptcha generuje captchę, którą można odgadnąć. Atak można przeprowadzić zdalnie, ma on wysoką złożoność i jest trudny do wykorzystania, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in newbee-mall up to 613a662adf1da7623ec34459bc83e3c1b12d8ce7. This issue affects the function paySuccess of the file /paySuccess of the component Order Status Handler. The manipulation of the argument orderNo leads to improper authorization. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS