CVE-2026-102364 in mall4j
Riassunto
di VulDB • 29/09/2026
mall4j fino alla versione 4.0 non valida il campo sysType nelle sessioni sa-token, consentendo ai clienti del storefront di autenticarsi come utenti back-office riutilizzando i propri token di sessione. Gli attaccanti possono registrarsi sul storefront pubblico e utilizzare il proprio token di sessione da cliente per accedere a endpoint amministrativi privi di controlli di autorizzazione @PreAuthorize, inclusi elenchi dei menu, caricamenti di file ed endpoint di configurazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.