CVE-2026-111697

ŚrednieCVSS 6.5

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR) w hcp-mp MeController i OrderController, która ufa parametrom userId, openId i orderNumber dostarczonym przez klienta. Atakujący mogą enumerować sekwencyjne identyfikatory członków w punktach końcowych takich jak /me/getMemberBalanceByUserId i /order/orderDetail, aby odczytać portfel, kredyty, profil i zamówienia ładowania dowolnego członka.

Ocena ryzyka

Luka umożliwia nieautoryzowany dostęp do danych osobowych i finansowych wszystkich członków, co może prowadzić do naruszenia prywatności i kradzieży tożsamości. Organizacja może ponieść straty wizerunkowe i prawne.

Rekomendacja

Należy zaktualizować ChargeOS do wersji nowszej niż 3.0.9 lub zastosować poprawkę producenta. Zaleca się również wdrożenie kontroli dostępu opartej na sesji zamiast ufania parametrom klienta.

Inne podatności w HUIZHI ChargeOS

CVE-2026-111698Średnie
HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę braku autoryzacji w punkcie końcowym hcp-mp PayController.xcxRecharge, która pozwala atakującym modyfikować saldo portfela dowolnego członka bez dokonywania płatności. Atakujący mogą wysyłać żądania z dowolnymi parametrami amount i userId, aby zwiększać lub zmniejszać salda oraz korzystać z usług ładowania za darmo.

Oryginalny opis (angielski, źródło NVD)

HUIZHI ChargeOS cloud through 3.0.9 contains an insecure direct object reference vulnerability in the hcp-mp MeController and OrderController that trusts client-supplied userId, openId and orderNumber parameters. Attackers can enumerate sequential member ids against endpoints like /me/getMemberBalanceByUserId and /order/orderDetail to read any member's wallet, credit, profile and charging orders.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS