CVE-2022-28056

ShopXO – podatność umożliwiająca ponowną instalację systemu (RCE)

CVSS 9.8v3.1pub. 2022-05-02upd. 2024-11-21

ShopXO w wersji 2.2.5 i wcześniejszych zawiera podatność pozwalającą na nieautoryzowane ponowne uruchomienie procesu instalacji aplikacji. Krytyczny poziom zagrożenia wynika z możliwości całkowitego przejęcia kontroli nad aplikacją przez nieuwierzytelnionego atakującego.

▸ Pokaż oryginał (EN)

ShopXO v2.2.5 and below was discovered to contain a system re-install vulnerability via the Add function in app/install/controller/Index.php.

🤖 Analiza AI

Jak działa

Podatność znajduje się w funkcji Add kontrolera app/install/controller/Index.php, który obsługuje proces instalacji systemu ShopXO. Nieautoryzowany użytkownik sieciowy może wywołać ten endpoint i ponownie przeprowadzić instalację aplikacji bez żadnego uwierzytelnienia. Pozwala to na nadpisanie konfiguracji systemu, w tym danych dostępowych do bazy danych oraz konta administratora.

Skutki

Atakujący może przejąć pełną kontrolę nad aplikacją ShopXO i jej bazą danych, uzyskując dostęp do poufnych danych klientów i zamówień oraz możliwość modyfikacji lub zniszczenia danych sklepu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację ShopXO do wersji wyższej niż 2.2.5. Jako środek tymczasowy warto rozważyć zablokowanie dostępu do ścieżki instalacyjnej (/install/) na poziomie firewall lub serwera WWW.