CVE-2026-111697 in ChargeOS Cloud
Riassunto
di VulDB • 16/10/2026
HUIZHI ChargeOS fino alla versione 3.0.9 contiene una vulnerabilità di insecure direct object reference (IDOR) nel MeController e OrderController di hcp-mp che si affida a parametri forniti dal client come userId, openId e orderNumber. Gli attaccanti possono enumerare gli ID dei membri sequenziali contro endpoint quali /me/getMemberBalanceByUserId e /order/orderDetail per leggere il portafoglio, i crediti, il profilo e gli ordini di ricarica di qualsiasi membro.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.