CVE-2025-10992

ŚrednieCVSS 5.3

Opublikowano: 26/09/2025(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Wykryto podatność w roncoo-pay do wersji 9428382af21cd5568319eae7429b7e1d0332ff40. Dotyczy ona nieznanej funkcji pliku /user/info/lookupList. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na kontakt.

Ocena ryzyka

Ryzyko nieautoryzowanego dostępu do danych użytkowników lub funkcji systemu. Zdalny atak może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Skontaktuj się z producentem w celu uzyskania poprawek. Jeśli nie są dostępne, ogranicz dostęp do pliku /user/info/lookupList i monitoruj logi pod kątem nieautoryzowanych żądań.

Inne podatności w roncoo-pay

CVE-2026-111719Średnie
Roncoo-pay do commita 9428382 zawiera podatność braku autoryzacji w F2FPayController.orderQuery, która pozwala nieuwierzytelnionym atakującym pobierać rekordy płatności poprzez podanie parametru trxNo. Atakujący mogą odgadywać numery transakcji, składające się z prefiksu '7' i identyfikatora snowflake, aby uzyskać pełny zserializowany rekord płatności dowolnego sprzedawcy.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in roncoo roncoo-pay up to 9428382af21cd5568319eae7429b7e1d0332ff40. Affected is an unknown function of the file /user/info/lookupList. Executing manipulation can lead to improper authorization. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. This product utilizes a rolling release system for continuous delivery, and as such, version information for affected or updated releases is not disclosed. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS