CVE-2026-102361
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.4%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 29 Eylül 2026
mall4j 4.0 sürümüne kadar, PUT /user/updatePwd endpointindeki eksik kimlik doğrulama güvenlik açığı, kimlik doğrulamaları yapılmamış saldırganların herhangi bir mağaza hesabı parolasını sıfırlamasına olanak tanır. Saldırganlar, parolaları doğrulama olmadan üzerine yazmak için hedef kullanıcı adını istek gövdesinde sağlayabilir, böylece hesap ele geçirilmesi ve siparişlere ve kişisel verilere erişimi mümkün kılar.
Orijinal açıklama (İngilizce)
mall4j through 4.0 contains a missing authentication vulnerability in the PUT /user/updatePwd endpoint that allows unauthenticated attackers to reset any storefront account password. Attackers can supply a target username in the request body to overwrite passwords without verification, enabling account takeover and access to orders and personal data.
Referanslar
- https://github.com/LinYuanyi1/cve-request-poc/blob/114b3f0d149e50a7678f591bf8043399fc9ac96c/mall4j/A01_updatepwd_account_takeover.py
- https://github.com/gz-yami/mall4j
- https://github.com/gz-yami/mall4j/blob/ffc672fc1aa4320ce02d0b93853bb456ae0a4dae/yami-shop-api/src/main/java/com/yami/shop/api/controller/UserRegisterController.java#L78-L100
- https://www.vulncheck.com/advisories/mall4j-through-4.0-missing-authentication-in-password-update-endpoint
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.