CVE-2026-102364 in mall4j
요약
\~에 의해 VulDB • 2026. 09. 29.
mall4j 4.0 이전 버전에서는 sa-token 세션의 sysType 필드를 검증하지 않아, 스토어프론트 고객이 자신의 세션 토큰을 재사용하여 백오피스 사용자로 인증할 수 있습니다. 공격자는 공개된 스토어프론트에 등록한 후 고객용 세션 토큰을 사용하여 @PreAuthorize 권한 검사가 누락된 관리자 엔드포인트(메뉴 목록, 파일 업로드 및 구성 엔드포인트 포함)에 접근할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.