Podatność w aplikacji Exrick Xmall w wersji 1.1 i wcześniejszych umożliwia zdalnemu atakującemu eskalację uprawnień bez uwierzytelnienia. Podatność jest oceniana jako krytyczna (CVSS 9.8), co oznacza możliwość pełnego przejęcia kontroli nad systemem.
▸ Pokaż oryginał (EN)
An issue in Erick xmall v.1.1 and before allows a remote attacker to escalate privileges via the updateAddress method of the Address Controller class.
Błąd wynika z nieprawidłowego zarządzania uprawnieniami (CWE-269) w metodzie updateAddress klasy Address Controller. Zdalny atakujący może wysłać specjalnie spreparowane żądanie do wspomnianego endpointu bez konieczności posiadania jakichkolwiek uprawnień, co skutkuje nieautoryzowaną eskalacją uprawnień w aplikacji.
Atakujący może uzyskać wyższy poziom uprawnień w aplikacji, co w praktyce może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia poufnych danych oraz modyfikacji lub usunięcia danych aplikacji.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację do wersji wyższej niż 1.1, ograniczenie dostępu do aplikacji na poziomie sieci oraz monitorowanie ruchu kierowanego do endpointów klasy Address Controller.
Exrick Xmall w wersji 1.1 oraz we wszystkich wcześniejszych wersjach.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HExrick Xmall
APPExrick1.1
Powiązane podatności
Obejście uwierzytelnienia w Exrick Xmall v1.1 poprzez crafted GET request
SQL Injection w Exrick XMall przez parametr orderDir
Incorrect access control in the /member/orderList API of xmall v1.1 allows attackers to arbitrarily access oth...
Multiple Cross-Site Scripting (XSS) vulnerabilities exist in xmall v1.1 due to improper handling of user-suppl...
A Cross Site Scripting (XSS) vulnerability exists in Exrick XMall Admin Panel as of 11/7/2021 via the GET para...