IDOR в Mall4cloud до 4.0 раскрывает адреса покупателей (CVE-2026-111615)
В Mall4cloud до версии 4.0 включительно обнаружена уязвимость небезопасной прямой ссылки на объект (IDOR) с оценкой CVSS 7.1 (HIGH). Аутентифицированный продавец может перебором идентификаторов получать через эндпоинт order_addr персональные данные покупателей всех магазинов платформы — имена, телефоны, адреса и почтовые индексы.
Подробности
Уязвимость локализована в обработчике getOrderAddr мультимагазинного контроллера OrderController. Из-за отсутствия должной проверки прав доступа к запрашиваемому объекту аутентифицированный продавец может обращаться к данным адресов доставки, принадлежащих другим магазинам. Идентификаторы orderAddrId имеют автоинкрементный характер, поэтому злоумышленник способен перебирать их в запросах вида GET /m/order/order_addr/{orderAddrId} и последовательно извлекать сведения по всей платформе. В результате эксплуатации раскрываются персональные данные покупателей: имя получателя (consignee name), номер мобильного телефона, адрес доставки и почтовый индекс. Утечка такого набора сведений создаёт риски для приватности пользователей и может быть использована в схемах социальной инженерии, мошенничества и таргетированных атак. Для эксплуатации требуется учётная запись продавца, то есть вектор атаки исходит от легитимного, но недобросовестного участника платформы.Что делать
Основная рекомендация — обновить Mall4cloud до версии, в которой устранена уязвимость: отслеживайте публикации сопровождающего проекта gz-yami и применяйте исправленные релизы. Если обновление пока невозможно, следует реализовать серверную проверку принадлежности объекта: обработчик getOrderAddr должен убеждаться, что запрашиваемый orderAddrId относится к магазину текущего аутентифицированного продавца, и возвращать отказ при несовпадении. Дополнительно рекомендуется отказаться от сквозных автоинкрементных идентификаторов в публичных эндпоинтах в пользу непредсказуемых значений, а также внедрить журналирование и мониторинг аномально частых обращений к order_addr, характерных для перебора. Целесообразно ограничить частоту запросов на уровне API и провести проверку журналов на предмет уже совершённых попыток эксплуатации. Итог: CVE-2026-111615 — показательный пример того, как отсутствие авторизационной проверки на уровне объекта превращает штатный эндпоинт в канал утечки персональных данных. Организациям, использующим Mall4cloud, следует приоритизировать обновление и усилить контроль доступа к чувствительным данным покупателей.Источник: CVE Project (cvelistV5)