CVE-2026-119558
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
OpenCart do wersji 4.1.0.4 zawiera podatność logiczną, która pozwala zalogowanym klientom na składanie nieopłaconych zamówień w pełnej cenie poprzez wyczyszczenie punktów lojalnościowych po wybraniu darmowej finalizacji zamówienia. Atakujący mogą zastosować punkty, zapisać darmową finalizację, a następnie przesłać zero punktów przez reward.save, aby procedura obsługi potwierdzenia przeniosła zamówienie do statusu darmowej finalizacji bez płatności.
Ocena ryzyka
Klienci mogą uzyskać towary bez zapłaty, co prowadzi do strat finansowych i nadużyć w procesie zamówień.
Rekomendacja
Zaktualizuj OpenCart do wersji nowszej niż 4.1.0.4, gdy tylko poprawka będzie dostępna, i monitoruj nietypowe zamówienia.
Inne podatności w OpenCart
Zobacz wszystkie- CVE-2026-18412Krytyczne
Instalator rozszerzeń OpenCart v4.2.0.0 nie sprawdza, czy ścieżki w plikach ZIP nie wychodzą poza katalog docelowy. Atakujący może stworzyć złośliwe rozszerzenie z sekwencjami typu ../, co pozwala na zapis plików, np. PHP web shell, w katalogu głównym serwera.
- CVE-2021-47923Krytyczne
OpenCart w wersji 3.0.3.8 zawiera podatność na fikcję sesji, która pozwala atakującym na przejęcie sesji użytkowników poprzez wstrzykiwanie dowolnych wartości do ciasteczka OCSESSID. Atakujący mogą ustawić złośliwe wartości ciasteczka OCSESSID, które serwer akceptuje i utrzymuje, co umożliwia przejęcie sesji i nieautoryzowany dostęp do kont użytkowników.
- CVE-2026-84438Niskie
Podatność wykryto w OpenCart 4.1.0.3/4.1.0.4. Dotyczy ona nieznanej funkcji w pliku catalog/controller/account/edit.php komponentu Autocomplete Workflow. Manipulacja argumentem firstname powoduje cross site scripting. Atak może być zainicjowany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.
- CVE-2026-84437Niskie
Podatność wykryto w OpenCart 4.1.0.3/4.1.0.4. Dotyczy ona nieznanej funkcji w pliku catalog/controller/account/address.php komponentu Autocomplete Workflow. Manipulacja argumentem address_1 prowadzi do cross site scripting. Atak może być uruchomiony zdalnie. Exploit został upubliczniony i może być użyty. Producent został wcześnie poinformowany, ale nie odpowiedział.
- CVE-2021-47953Średnie
OpenCart 3.0.3.7 zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), umożliwiającą atakującym zmianę haseł użytkowników poprzez wysłanie spreparowanych żądań do endpointu account/password. Atakujący mogą nakłonić uwierzytelnionych użytkowników do wysłania ukrytych formularzy z nowymi wartościami haseł w parametrach 'password' i 'confirm', co prowadzi do przejęcia kont.
- CVE-2021-47946Średnie
OpenCart 3.0.3.6 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w punkcie końcowym /account/edit, umożliwiającą nieuwierzytelnionym atakującym modyfikację danych konta ofiary poprzez nakłonienie jej do odwiedzenia złośliwej strony. Atakujący może zmienić adres e-mail i wykorzystać resetowanie hasła do przejęcia konta.
- CVE-2025-15116Niskie
W OpenCart do wersji 4.1.0.3 znaleziono podatność w komponencie Single-Use Coupon Handler. Manipulacja prowadzi do race condition. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Producent nie odpowiedział na kontakt.
Oryginalny opis (angielski, źródło NVD)
OpenCart through 4.1.0.4 contains a business logic vulnerability that allows logged-in customers to place unpaid full-price orders by clearing reward points after selecting Free Checkout. Attackers can apply points, save Free Checkout, then submit zero points via reward.save so the confirm handler advances the order to Free Checkout status without payment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS