CVE-2026-72843

EverShop'ta müşteri güncelleme rotası, packages/evershop/src/modules/customer/api/updateCustomer/route.json dosyasında "access": "public" olarak tanımlanmıştır; bu durum, yönetici kimlik doğrulama ara yazılımının çağıranı kontrol etmeden next() çağırmasına neden olur ve rotayı koruyan hiçbir müşteri oturumu ara yazılımı yoktur; zincirdeki tek ara yazılım JSON gövdesini ayrıştırır. updateCustomer.js içindeki işleyici daha sonra URL yolundan alınan uuid ile müşteriyi yükler ve sağlanan alanları, bir parola sağlanmışsa parolayı hash'leyerek, çağıranın kaydın sahibi olduğunu doğrulamadan o kayda geri yazar. Bu nedenle, bilinen bir müşteri uuid'si taşıyan kimliği doğrulanmamış bir istek, o müşterinin e-posta adresini ve parolasını üzerine yazabilir ve 200 yanıtından güncellenmiş kaydı okuyabilir; böylece hesabı ele geçirir ve sahibinin erişimini kilitler. Müşteri uuid'leri sipariş onay e-postası bağlantıları ve yönetim URL'leri aracılığıyla açığa çıkar. Sürüm 2.2.1 rotayı "access": "private" olarak değiştirir.