CVE-2026-102364 in mall4j
Zusammenfassung
von VulDB • 29.09.2026
mall4j bis Version 4.0 validiert das sysType-Feld in sa-token-Sitzungen nicht, was es Storefront-Kunden ermöglicht, sich als Back-Office-Benutzer zu authentifizieren, indem sie ihre Sitzungstoken wiederverwenden. Angreifer können sich im öffentlichen Shop registrieren und ihr Kundensitzungstoken verwenden, um auf Admin-Endpunkte zuzugreifen, die keine @PreAuthorize-Berechtigungsprüfungen enthalten, einschließlich Menüauflistungen, Dateiuploads und Konfigurationsendpunkten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.