CVE-2025-14051
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W youlai-mall w wersjach 1.0.0 i 2.0.0 wykryto podatność w funkcjach getById/updateAddress/deleteAddress w pliku /mall-ums/app-api/v1/addresses/. Manipulacja danymi prowadzi do niewłaściwej kontroli dynamicznie identyfikowanych zmiennych. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykorzystać podatność do manipulowania danymi adresowymi użytkowników, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych. Ponieważ exploit jest publicznie dostępny, ryzyko jest wysokie.
Rekomendacja
Zaktualizuj youlai-mall do najnowszej wersji, jeśli dostępna, lub zastosuj poprawki od dostawcy. Do czasu wydania poprawki rozważ ograniczenie dostępu do API adresów.
Inne podatności w youlai-mall
Zobacz wszystkie- CVE-2026-110613Średnie
youlai-mall do commita 9f62de8 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom na przeglądanie zamówień wszystkich klientów poprzez punkt końcowy listy zamówień aplikacji. Atakujący mogą przeglądać tabelę oms_order za pomocą samodzielnie zarejestrowanego konta, aby odczytać identyfikatory zamówień, wartości order_sn, identyfikatory członków, kwoty płatności i statusy zamówień.
- CVE-2025-15087Średnie
W youlai-mall (wersje 1.0.0 i 2.0.0) wykryto podatność w funkcji submitOrderPayment w pliku OrderController.java. Manipulacja argumentem orderSn prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-15086Średnie
W youlai-mall w wersjach 1.0.0 i 2.0.0 wykryto słabość w funkcji getMemberByMobile w pliku mall-ums/ums-boot/src/main/java/com/youlai/mall/ums/controller/app/MemberController.java. Manipulacja powoduje niewłaściwą kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-15085Średnie
W aplikacji youlai-mall (wersje 1.0.0 i 2.0.0) wykryto błąd bezpieczeństwa w funkcji deductBalance w pliku MemberController.java. Manipulacja danymi prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-15084Niskie
W youlaitech youlai-mall w wersjach 1.0.0/2.0.0 wykryto podatność w funkcji orderService.payOrder w pliku OrderController.java, prowadzącą do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit jest publicznie dostępny, a producent nie odpowiedział.
- CVE-2025-14086Średnie
W youlaitech youlai-mall 1.0.0/2.0.0 wykryto lukę w pliku /app-api/v1/members/openid/. Manipulacja argumentem openid prowadzi do niewłaściwej kontroli dostępu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-14085Średnie
W youlai-mall w wersjach 1.0.0 i 2.0.0 wykryto podatność w nieznanej funkcji pliku /app-api/v1/orders/. Manipulacja argumentem orderId prowadzi do niewłaściwej kontroli dynamicznie identyfikowanych zmiennych. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony.
- CVE-2025-14052Średnie
Wykryto podatność w youlaitech youlai-mall w wersjach 1.0.0 i 2.0.0. Dotyczy funkcji getMemberById w pliku /mall-ums/app-api/v1/members/. Manipulacja argumentem memberId prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in youlaitech youlai-mall 1.0.0/2.0.0. Affected is the function getById/updateAddress/deleteAddress of the file /mall-ums/app-api/v1/addresses/. Executing manipulation can lead to improper control of dynamically-identified variables. The attack can be executed remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS