5.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
PrestaShop blockwishlist through 3.0.2 fails to validate wishlist ownership in the getUrlByIdWishListAction method, allowing authenticated customers to retrieve share tokens for any wishlist by identifier. Attackers can supply sequential wishlist identifiers to obtain valid share links and read other customers' private wishlist contents.
Засегнати продукти
- PrestaShop blockwishlist: до 3.0.2
Вид слабост
История
- 16 септември 2026 Публикувано
Други уязвимости в PrestaShop blockwishlist
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-92810
- https://nvd.nist.gov/vuln/detail/CVE-2026-92810
- https://github.com/geo-chen/oss/blob/main/prestashop.md#finding-2-blockwishlist-idor-wishlist-share-token-disclosure-via-missing-authorization-check
- https://github.com/PrestaShop/blockwishlist/blob/v3.0.2/controllers/front/action.php#L411-L421
- https://github.com/PrestaShop/blockwishlist
- https://www.vulncheck.com/advisories/prestashop-blockwishlist-through-3.0.2-information-disclosure