CVE-2023-46498

RCE i ujawnienie danych w EverShop NPM przez plik route.json

CVSS 9.8v3.1pub. 2023-12-08upd. 2024-11-21

Podatność w EverShop NPM w wersjach przed v.1.0.0-rc.8 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu uzyskanie poufnych informacji oraz wykonanie dowolnego kodu. Ze względu na brak wymogu uwierzytelnienia i sieciowy wektor ataku stanowi krytyczne zagrożenie dla platform e-commerce opartych na tym rozwiązaniu.

▸ Pokaż oryginał (EN)

An issue in EverShop NPM versions before v.1.0.0-rc.8 allows a remote attacker to obtain sensitive information and execute arbitrary code via the /deleteCustomer/route.json file.

🤖 Analiza AI

Jak działa

Podatność związana jest z plikiem /deleteCustomer/route.json dostępnym w aplikacji EverShop. Zdalny atakujący może odwołać się do tego zasobu w sposób nieuprawniony, co prowadzi do ujawnienia wrażliwych danych oraz umożliwia wykonanie arbitralnego kodu na serwerze. Szczegółowy mechanizm podatności nie został upubliczniony w opisie CVE, jednak wektor CVSS wskazuje na brak wymagań dotyczących uprawnień i interakcji użytkownika.

Skutki

Atakujący może uzyskać dostęp do poufnych informacji przechowywanych w aplikacji oraz wykonać dowolny kod na serwerze (RCE), co może skutkować pełnym przejęciem kontroli nad systemem.

Mitygacja

Należy zaktualizować EverShop NPM do wersji v.1.0.0-rc.8 lub nowszej. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do aplikacji na poziomie firewall oraz monitorowanie ruchu sieciowego pod kątem nieautoryzowanych żądań do endpointów zarządzania klientami.