PT-2020-13033 · Xt · Xt:Commerce

CVE-2020-12101 · Publicado 2020-04-30 · Atualizado 2024-04-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

xt:Commerce, versões 5.1 a 6.2.2

Descrição

A vulnerabilidade permite que usuários remotos autenticados manipulem o campo id na solicitação POST para alteração de um endereço, possibilitando que eles zereiem os endereços armazenados de outros usuários.

Recomendações

Para as versões 5.1 a 6.2.2, considere restringir o acesso ao recurso de gerenciamento de endereços até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o campo id na solicitação POST para alterar um endereço, a fim de minimizar o risco de exploração.

Exploit

Correção

Incorrect Default Permissions

Enumeração de Fraquezas

CWE-276

Identificadores relacionados

CVE-2020-12101

Produtos afetados

Xt:Commerce

Referências · 9

• 🔥 http://packetstormsecurity.com/files/157534/xt-Commerce-5.4.1-6.2.1-6.2.2-Improper-Access-Control.html · Exploit
• 🔥 http://seclists.org/fulldisclosure/2020/May/0 · Exploit
• 🔥 https://syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2020-012.txt · Exploit
• https://t.me/cvenotify/78442 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-12101 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-12101 · Nota de Segurança
• https://helpdesk.xt-commerce.com/index.php?/Knowledgebase/Article/View/1784/294/adressbuch-sicherheitspatch-17042020-fr-xtcommerce-51-bis-622 · Aviso do Fabricante
• https://t.me/cvenotify/3446 · Publicação no Telegram
• https://t.me/defcon_news/45770 · Publicação no Telegram