data/class/pages/mypage/LC_Page_Mypage_DeliveryAddr.php in LOCKON EC-CUBE 2.11.2 through 2.13.0 allows remote attackers to obtain sensitive

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• lockon ec-cube2.11.2
• lockon ec-cube2.11.3
• lockon ec-cube2.11.4
• lockon ec-cube2.11.5
• lockon ec-cube2.12.0
• lockon ec-cube2.12.1
• lockon ec-cube2.12.2
• lockon ec-cube2.12.3
• lockon ec-cube2.12.3en
• lockon ec-cube2.12.3enp1
• lockon ec-cube2.12.3enp2
• lockon ec-cube2.12.4en
• lockon ec-cube2.12.5
• lockon ec-cube2.12.5en
• lockon ec-cube2.12.6
• lockon ec-cube2.12.6en
• lockon ec-cube2.13.0

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2014-0808Authorization bypass through user-controlled key issue exists in EC-CUBE 2.11.0 through 2.12.2 and EC-Orange systems deployed before June 29
  37Наблюдать
• CVE-2016-1201Cross-site request forgery (CSRF) vulnerability in LOCKON EC-CUBE 3.0.0 through 3.0.9 allows remote attackers to hijack the authentication o
  35Наблюдать
• CVE-2018-0564Session fixation vulnerability in EC-CUBE (EC-CUBE 3.0.0, EC-CUBE 3.0.1, EC-CUBE 3.0.2, EC-CUBE 3.0.3, EC-CUBE 3..4, EC-CUBE 3.0.5, EC-CUBE
  32Наблюдать
• CVE-2013-3651LOCKON EC-CUBE 2.11.2 through 2.12.4 allows remote attackers to conduct unspecified PHP code-injection attacks via a crafted string, related
  31Наблюдать
• CVE-2011-3988SQL injection vulnerability in data/class/SC_Query.php in EC-CUBE 2.11.0 through 2.11.2 allows remote attackers to execute arbitrary SQL com
  31Наблюдать
• CVE-2013-5993Cross-site request forgery (CSRF) vulnerability in LOCKON EC-CUBE 2.11.0 through 2.13.0 allows remote attackers to hijack the authentication
  27Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.