Podatności litemall

W linlinjava litemall do wersji 1.8.0 wykryto lukę w nieznanej części pliku litemall-admin-api/src/main/java/org/linlinjava/litemall/admin/web/AdminAuthController.java w komponencie Login Endpoint. Manipulacja prowadzi do niewłaściwego ograniczenia nadmiernych prób uwierzytelniania. Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit jest publiczny i może być użyty; projekt nie odpowiedział na zgłoszenie.

W linlinjava litemall (wersje 1.4.0–1.8.0) wykryto podatność w funkcji AdminGoodsService.validate w pliku litemall-vue/src/views/items/detail/index.vue komponentu Product Detail. Manipulacja argumentem detail prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.

W linlinjava litemall (wersje 1.5.0–1.8.0) wykryto lukę w funkcji AdminTopicController.validate w pliku litemall-vue/src/views/items/topic/index.vue komponentu Admin Topic Handler. Manipulacja prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.

W linlinjava litemall do wersji 1.8.0 występuje podatność w funkcji backup/load pliku DbUtil.java w komponencie Database Setting Handler. Manipulacja argumentami db/password prowadzi do wstrzyknięcia argumentów, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W linlinjava litemall do wersji 1.8.0 wykryto podatność w nieznanej funkcji komponentu Admin Endpoint. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a wiele endpointów jest dotkniętych.