CVE-2020-19778

Nieprawidłowa kontrola dostępu w Shopxo — eskalacja uprawnień przez manipulację parametrem user_id

CVSS 9.8v3.1pub. 2021-04-14upd. 2024-11-21

Podatność w Shopxo w wersjach 1.4.0 i 1.5.0 umożliwia zdalnym, nieuwierzytelnionym atakującym uzyskanie wyższych uprawnień poprzez manipulację parametrem 'user_id' w żądaniu HTTP. Wysoki wynik CVSS 9.8 wskazuje na krytyczne zagrożenie — exploit nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Incorrect Access Control in Shopxo v1.4.0 and v1.5.0 allows remote attackers to gain privileges in "/index.php" by manipulating the parameter "user_id" in the HTML request.

🤖 Analiza AI

Jak działa

Aplikacja Shopxo nieprawidłowo weryfikuje kontrolę dostępu dla punktu końcowego '/index.php'. Atakujący może wysłać spreparowane żądanie HTTP, w którym modyfikuje wartość parametru 'user_id', podszywając się w ten sposób pod innego użytkownika lub uzyskując uprawnienia administratora. Brak po stronie serwera odpowiedniej weryfikacji tożsamości i uprawnień powoduje, że aplikacja akceptuje takie żądanie i przetwarza je z przywilejami wskazanego użytkownika.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do kont innych użytkowników, w tym kont administracyjnych, co może prowadzić do pełnego przejęcia kontroli nad aplikacją, ujawnienia danych klientów oraz modyfikacji lub usunięcia danych sklepu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się jak najszybszą aktualizację do wersji niezawierającej podatności oraz weryfikację logów dostępu pod kątem ewentualnych prób eksploitacji parametru 'user_id'.

Kogo dotyczy

Shopxo w wersjach 1.4.0 oraz 1.5.0

Uwagi

Podatność sklasyfikowana według CWE-472 (External Control of Assumed-Immutable Web Parameter). Szczegóły techniczne dostępne w zgłoszeniu na GitHub pod adresem https://github.com/gongfuxiang/shopxo/issues/23.