CVE-2026-111698

ŚrednieCVSS 6.5

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę braku autoryzacji w punkcie końcowym hcp-mp PayController.xcxRecharge, która pozwala atakującym modyfikować saldo portfela dowolnego członka bez dokonywania płatności. Atakujący mogą wysyłać żądania z dowolnymi parametrami amount i userId, aby zwiększać lub zmniejszać salda oraz korzystać z usług ładowania za darmo.

Ocena ryzyka

Organizacja korzystająca z ChargeOS może ponieść straty finansowe w wyniku nieautoryzowanych zmian sald portfeli i darmowego korzystania z usług ładowania. Luka umożliwia również manipulację danymi finansowymi użytkowników.

Rekomendacja

Należy niezwłocznie zaktualizować ChargeOS do wersji nowszej niż 3.0.9 lub zastosować poprawkę producenta. Do czasu aktualizacji zaleca się ograniczenie dostępu do punktu końcowego xcxRecharge oraz monitorowanie nietypowych zmian sald.

Inne podatności w HUIZHI ChargeOS

CVE-2026-111697Średnie
HUIZHI ChargeOS cloud do wersji 3.0.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR) w hcp-mp MeController i OrderController, która ufa parametrom userId, openId i orderNumber dostarczonym przez klienta. Atakujący mogą enumerować sekwencyjne identyfikatory członków w punktach końcowych takich jak /me/getMemberBalanceByUserId i /order/orderDetail, aby odczytać portfel, kredyty, profil i zamówienia ładowania dowolnego członka.

Oryginalny opis (angielski, źródło NVD)

HUIZHI ChargeOS cloud through 3.0.9 contains a missing authorization vulnerability in the hcp-mp PayController.xcxRecharge endpoint that allows attackers to modify any member's wallet balance without payment. Attackers can send requests with arbitrary amount and userId parameters to credit or reduce balances and consume charging services for free.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS