5.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
nopCommerce before 5.00.0 contains a missing authorization vulnerability in the admin ProductController RelatedProductAddPopup, CrossSellProductAddPopup and AssociatedProductAddPopup handlers that fail to verify parent product ownership. Authenticated vendors can submit another vendor's product id as model.ProductId to inject their products into the victim's related-products, cross-sell and grouped-product listings.
Засегнати продукти
- nopSolutions nopCommerce: преди 5.00.0
Вид слабост
История
- 28 октомври 2026 Публикувано
Други уязвимости в nopSolutions nopCommerce
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-117605
- https://nvd.nist.gov/vuln/detail/CVE-2026-117605
- https://github.com/nopSolutions/nopCommerce/issues/8417
- https://github.com/nopSolutions/nopCommerce/commit/fbdbe18d43b42b7e269f7118cfc9533349ed2dc0
- https://github.com/nopSolutions/nopCommerce/blob/918444773367deb734b93d3ad80e17325d6c147a/src/Presentation/Nop.Web/Areas/Admin/Controllers/ProductController.cs#L1655-L1679
- https://github.com/nopSolutions/nopCommerce/releases/tag/release-5.00.0
- https://github.com/nopSolutions/nopCommerce
- https://www.vulncheck.com/advisories/nopcommerce-before-5.00.0-missing-authorization-via-admin-productcontroller-add-popup-handlers