CVE-2026-28213

EverShop: token resetowania hasła ujawniany w odpowiedzi API

CVSS 9.8v3.1pub. 2026-02-26upd. 2026-02-28

W platformie e-commerce EverShop w wersjach wcześniejszych niż 2.1.1 funkcjonalność 'Forgot Password' zwraca token resetowania hasła bezpośrednio w odpowiedzi API. Umożliwia to atakującemu przejęcie dowolnego konta użytkownika bez żadnej autoryzacji.

▸ Pokaż oryginał (EN)

EverShop is a TypeScript-first eCommerce platform. Versions prior to 2.1.1 have a vulnerability in the "Forgot Password" functionality. When specifying a target email address, the API response returns the password reset token. This allows an attacker to take over the associated account. Version 2.1.1 fixes the issue.

🤖 Analiza AI

Jak działa

Atakujący wysyła żądanie resetowania hasła podając docelowy adres e-mail ofiary. Serwer w odpowiedzi API zwraca token resetowania hasła zamiast wysłać go wyłącznie na adres e-mail właściciela konta. Posiadając ten token, atakujący może samodzielnie ustawić nowe hasło i przejąć kontrolę nad kontem. Atak nie wymaga żadnych uprawnień ani interakcji po stronie ofiary.

Skutki

Atakujący może w pełni przejąć dowolne konto użytkownika platformy, uzyskując nieautoryzowany dostęp do danych osobowych, historii zamówień i panelu administracyjnego, a także modyfikować lub usuwać dane.

Mitygacja

Należy niezwłocznie zaktualizować EverShop do wersji 2.1.1, która eliminuje opisaną podatność. Patch dostępny jest w repozytorium producenta: https://github.com/evershopcommerce/evershop/releases/tag/v2.1.1

Kogo dotyczy

EverShop (platforma e-commerce) we wszystkich wersjach wcześniejszych niż 2.1.1

Uwagi

Podatność została opisana w oficjalnym security advisory producenta (GHSA-cg73-g723-39jw). Mimo braku wymogu uwierzytelnienia i krytycznego wyniku CVSS 9.8, CISA KEV nie potwierdza aktywnego wykorzystania w środowiskach produkcyjnych.