FluentCart < 2.2.0 - Unauthenticated Customer Address Disclosure via IDOR

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (WPScan). Не зависят от анализа CPE в NVD и обычно опережают его.

• Unknown FluentCart A New Era of eCommerce

  • до 2.2.0затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-100143FluentCart < 1.6.5 - Unauthenticated Guest Customer Account Takeover via Checkout Email
  26Наблюдать
• CVE-2026-14926FluentCart < 1.4.0 - Subscriber+ Subscription Payment-Method Tampering via IDOR
  16Наблюдать
• CVE-2026-14927FluentCart < 1.5.3 - Unauthenticated Order PII Disclosure via Print Routes
  14Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.