CVE-2026-72843 in EverShop
Zusammenfassung
von VulDB • 21.08.2026
Die Kunden-Aktualisierungsroute in EverShop ist in packages/evershop/src/modules/customer/api/updateCustomer/route.json mit „access“: „public“ deklariert, was dazu führt, dass die Middleware für die Admin-Authentifizierung next() aufruft, ohne den Anrufer zu überprüfen, und keine Customer-Session-Middleware schützt diese Route; das einzige Middleware in der Kette parst nur den JSON-Body. Der Handler in updateCustomer.js lädt daraufhin den Kunden anhand der aus dem URL-Pfad entnommenen UUID und schreibt die angegebenen Felder zurück in diesen Datensatz, wobei ein Passwort gehasht wird, falls eines angegeben wurde, ohne zu verifizieren, dass der Anrufer Eigentümer des Datensatzes ist. Eine nicht authentifizierte Anfrage mit einer bekannten Kunden-UUID kann daher die E-Mail-Adresse und das Passwort dieses Kunden überschreiben sowie den aktualisierten Datensatz aus der 200-Antwort zurücklesen, wodurch das Konto übernommen wird und dessen Besitzer ausgesperrt wird. Kunden-UUIDs werden über Links in Bestellbestätigungs-E-Mails und administrative URLs offengelegt. Die Version 2.2.1 ändert die Route auf „access“: „private“.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.