CVE-2026-72843

EverShop-dakı müştəri yeniləmə marşrutu packages/evershop/src/modules/customer/api/updateCustomer/route.json faylında "access": "public" olaraq təyin edilmişdir ki, bu da admin autentifikasiya middleware-nin çağıranı yoxlamadan next() funksiyasını çağırmasına səbəb olur və marşrut heç bir müştəri sessiyası middleware tərəfindən qorunmur; zəncirdəki yeganə middleware JSON gövdəsini analiz edir. Daha sonra updateCustomer.js faylındakı handler, URL yolundan götürülmüş uuid vasitəsilə müştərini yükləyir və çağıranın qeydin sahibi olduğunu təsdiqləmədən, təmin edilən sahələri həmin qeydə yazır və əgər parol təqdim edilibsə, onu heşləyir. Beləliklə, məlum müştəri uuid-sini daşıyan autentifikasiya olunmamış sorğu həmin müştərinin e-poçt ünvanını və parolunu dəyişə bilər və 200 cavabından yenilənmiş qeydi oxuyaraq hesabı ələ keçirib sahibini kənarlaşdıra bilər. Müştəri uuid-ləri sifariş təsdiqi e-poçt linkləri və inzibati URL-lər vasitəsilə açıq şəkildə görünür. Versiya 2.2.1 marşrutu "access": "private" olaraq dəyişir.