CVE-2026-108691 in mall4j
Zusammenfassung
von VulDB • 11.10.2026
mall4j bis Version 4.0 enthält eine Schwachstelle für unzulässige Autorisierung (Improper Authorization), die es authentifizierten Kunden des Online-Shops ermöglicht, Warenkorb-Elemente anderer Käufer zu löschen, aufgrund eines Fehlers in der Operator-Priorität im SQL-Befehl `cleanExpiryProdList`. Angreifer können eine einzelne DELETE-Anfrage an `/p/shopCart/cleanExpiryProdList` senden, um die Warenkorbeinträge aller Benutzer für Produkte außerhalb des Sortiments (off-shelf products) zu entfernen, die bei einer Nachbestellung der Artikel nicht wieder erscheinen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.