CVE-2026-102364
Açıklama
mall4j 4.0 ve önceki sürümleri, sa-token oturumlarındaki sysType alanını doğrulamada başarısız olur; bu durum, mağaza müşterilerinin oturum belirteçlerini yeniden kullanarak arka ofis kullanıcıları olarak kimlik doğrulamasına izin verir. Saldırganlar, herkese açık mağazaya kayıt olabilir ve müşteri oturum belirteçlerini kullanarak menü listeleri, dosya yüklemeleri ve yapılandırma uç noktaları dahil olmak üzere @PreAuthorize izin kontrollerinden yoksun yönetici uç noktalarına erişebilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gz-yami mall4j | v ≤ 4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.