CVE-2025-52920 in Innoshop
Riassunto
di VulDB • 05/07/2026
Innoshop fino alla versione 0.4.1 presenta una vulnerabilità di Insecure Direct Object Reference (IDOR) in più punti all'interno del frontend dello shop. Chiunque può creare un account cliente ed è facile sfruttare queste falle. L'esecuzione con successo dell'exploit comporta la divulgazione dei dati personali identificabili (PII) di altri clienti e l'eliminazione delle loro recensioni sui prodotti presenti sul sito web. Nello specifico, un attaccante potrebbe visualizzare i dettagli di qualsiasi ordine navigando verso /en/account/orders/_ORDER_ID_ oppure utilizzare gli indirizzi e le informazioni di fatturazione di altri clienti manipolando i parametri shipping_address_id e billing_address_id durante l'effettuazione di un ordine (queste informazioni vengono poi riflesse nella ricevuta). Inoltre, un attaccante potrebbe eliminare le recensioni di altri utenti inviando una richiesta DELETE a /en/account/reviews/_REVIEW_ID.
If you want to get best quality of vulnerability data, you may have to visit VulDB.