CVE-2025-13114

ŚrednieCVSS 6.3

Opublikowano: 13/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

W projekcie macrozheng mall-swarm do wersji 1.0.3 wykryto podatność w funkcji updateAttr pliku /cart/update/attr. Manipulacja prowadzi do niewłaściwej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Ocena ryzyka

Zdalny atakujący może modyfikować atrybuty koszyka innych użytkowników bez odpowiednich uprawnień, co może prowadzić do nieautoryzowanych zmian danych lub zakłócenia działania aplikacji. Ponieważ exploit jest publicznie dostępny, ryzyko wykorzystania jest realne.

Rekomendacja

Zaktualizuj mall-swarm do wersji nowszej niż 1.0.3 lub wdróż poprawkę autoryzacji w funkcji updateAttr. Dodatkowo zweryfikuj, czy operacje na koszyku sprawdzają uprawnienia użytkownika.

Inne podatności w macrozheng mall-swarm

CVE-2025-14016Średnie
Wykryto podatność bezpieczeństwa w macrozheng mall-swarm do wersji 1.0.3. Dotyczy funkcji delete w pliku /member/readHistory/delete. Manipulacja argumentem ids prowadzi do nieprawidłowej autoryzacji. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in macrozheng mall-swarm up to 1.0.3. This affects the function updateAttr of the file /cart/update/attr. Such manipulation leads to improper authorization. The attack may be performed from remote. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS