CVE-2025-45612

Obejście uwierzytelnienia w Exrick Xmall v1.1 poprzez crafted GET request

CVSS 9.8v3.1pub. 2025-05-05upd. 2025-06-16

Podatność w aplikacji Exrick Xmall v1.1 umożliwia atakującemu pominięcie mechanizmu uwierzytelnienia bez posiadania jakichkolwiek poświadczeń. Błędna kontrola dostępu (CWE-284) nadaje tej luce ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

Incorrect access control in xmall v1.1 allows attackers to bypass authentication via a crafted GET request to /index.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie GET do ścieżki /index, które pozwala ominąć mechanizmy kontroli dostępu aplikacji. Nieprawidłowa implementacja logiki uwierzytelnienia powoduje, że serwer nie weryfikuje tożsamości żądającego i przyznaje dostęp do chronionych zasobów. Atak nie wymaga uwierzytelnienia, interakcji użytkownika ani szczególnych warunków sieciowych.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do aplikacji, co może prowadzić do ujawnienia, modyfikacji lub zniszczenia danych, a także do przejęcia pełnej kontroli nad zasobami chronionymi przez mechanizm uwierzytelnienia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Rekomenduje się również wdrożenie dodatkowej warstwy kontroli dostępu (np. firewall aplikacyjny WAF) oraz monitorowanie podejrzanych żądań GET kierowanych do ścieżki /index do czasu zastosowania poprawki.

Kogo dotyczy

Exrick Xmall w wersji 1.1

Uwagi

Szczegóły techniczne podatności zostały zgłoszone w publicznym zgłoszeniu na platformie GitHub (issue #96 w repozytorium Exrick/xmall). Podatność jest publicznie ujawniona, co zwiększa ryzyko jej wykorzystania.