CVE-2026-111697
Təsvir
HUIZHI ChargeOS 3.0.9 və daha aşağı versiyalarında hcp-mp MeController və OrderController komponentlərində müştəri tərəfindən təqdim edilən userId, openId və orderNumber parametrlərinə etibar etməklə bağlı təhlükəsiz olmayan birbaşa obyekt istinadı (IDOR) zəifliyi mövcuddur. Hücumçular /me/getMemberBalanceByUserId və /order/orderDetail kimi son nöqtələrə qarşı ardıcıl üzv ID-lərini sadalayaraq istənilən üzvün pul kisəsi, kredit, profil və ödəniş sifarişləri məlumatlarını oxuya bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| roinli HUIZHI-ChargeOS-cloud | v ≤ 3.0.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.