CVE-2023-26689

CS-Cart MultiVendor — nieautoryzowana modyfikacja profili użytkowników przez API

CVSS 9.8v3.1pub. 2024-09-25upd. 2025-04-24

Podatność w CS-Cart MultiVendor 4.16.1 umożliwia atakującemu modyfikację dowolnych profili użytkowników bez odpowiednich uprawnień. Ze względu na krytyczny wynik CVSS 9.8 i brak wymagań uwierzytelnienia stanowi poważne zagrożenie dla integralności danych.

▸ Pokaż oryginał (EN)

An issue discovered in CS-Cart MultiVendor 4.16.1 allows attackers to alter arbitrary user account profiles via crafted post request.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie POST do interfejsu aplikacji, które pozwala na zmianę danych dowolnego konta użytkownika. Podatność wynika z niewystarczającej autoryzacji (CWE-286) — system nie weryfikuje prawidłowo, czy żądający ma uprawnienia do modyfikacji wskazanego profilu. Zgodnie z referencjami luka jest powiązana z niewystarczającą autoryzacją przy tworzeniu kluczy API w CS-Cart MultiVendor.

Skutki

Atakujący może przejąć kontrolę nad dowolnym kontem użytkownika poprzez modyfikację jego danych profilowych, co może prowadzić do pełnego naruszenia poufności, integralności i dostępności danych w systemie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu do interfejsu API na poziomie firewall oraz monitorowanie nieoczekiwanych żądań POST modyfikujących profile użytkowników.

Kogo dotyczy

CS-Cart MultiVendor w wersji 4.16.1

Uwagi

Referencje wskazują na publiczne ujawnienie szczegółów podatności w repozytorium GitHub (cybrops-io/CVEs), co zwiększa ryzyko opracowania exploitu przez nieuprawnione osoby.