CVE-2026-72843

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.6%
CWE: CWE-862
KEV Durumu: Hayır

Yayım tarihi: 20 Ağustos 2026

EverShop'taki müşteri güncelleme yolu, packages/evershop/src/modules/customer/api/updateCustomer/route.json dosyasında "access": "public" olarak bildirilir, bu da yönetici kimlik doğrulama ara yazılımının çağırana bakmaksızın next() metodunu çağırmalarına neden olur ve müşteri oturum ara yazılımı da bu yolu korumaz; zincirdeki tek ara yazılım JSON gövdesini analiz eder. updateCustomer.js dosyasındaki işleyici, URL yolundan alınan uuid ile müşteriyi yükler ve sağlanan alanları bu kayda geri yazar, sağlanan bir parola varsa parolayı da şifreler, ancak çağırıcının kaydı sahip olduğunu doğrulamaz. Bir müşteri uuid'sini taşıyan kimlik doğrulamalı bir istek, bu nedenle bu müşterinin e-posta adresini ve parolasını geçersiz kılabilir ve 200 yanıtından güncellenmiş kaydı okuyabilir, hesabı ele geçirebilir ve sahibini kilitleyebilir. Müşteri uuid'leri, sipariş onay e-posta bağlantıları ve yönetim URL'leri aracılığıyla açığa çıkar. Sürüm 2.2.1, yolu "access": "private" olarak değiştirir.

Orijinal açıklama (İngilizce)

The customer update route in EverShop is declared with "access": "public" in packages/evershop/src/modules/customer/api/updateCustomer/route.json, which causes the admin authentication middleware to call next() without checking the caller, and no customer-session middleware guards the route; the only middleware in the chain parses the JSON body. The handler in updateCustomer.js then loads the customer by the uuid taken from the URL path and writes the supplied fields back to that record, hashing a password if one is provided, without verifying that the caller owns the record. An unauthenticated request carrying a known customer uuid can therefore overwrite that customer's email address and password and read back the updated record from the 200 response, taking over the account and locking out its owner. Customer uuids are exposed through order confirmation email links and administrative URLs. Version 2.2.1 changes the route to "access": "private".

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.