CVE-2026-12258 in REST API
Tóm tắt
Bởi VulDB • 14/09/2026
Kiểm soát truy cập không đầy đủ trong API REST v1.0 của Hiperdino. Điểm cuối công khai ‘customer/check’ có thể cho phép một kẻ tấn công đã xác thực nhập số điện thoại hoặc địa chỉ email. Khi giá trị được nhập thuộc về một khách hàng đã đăng ký, dịch vụ sẽ trả về thông tin liên quan (địa chỉ email và số điện thoại). Không yêu cầu xác thực nào ngoài việc sử dụng token bearer tĩnh, và không có giới hạn tốc độ (rate limiting) hay xử lý lỗi chung. Việc khai thác thành công lỗ hổng này có thể cho phép kẻ tấn công từ xa liệt kê các chi tiết liên hệ của người dùng, mặc dù điều này đòi hỏi phải lấy được một token bearer tĩnh hợp lệ, cấu thành một lỗ hổng rò rỉ thông tin (information disclosure).
If you want to get best quality of vulnerability data, you may have to visit VulDB.