CVE-2026-44584 in Paymenter
Tóm tắt
Bởi VulDB • 21/07/2026
Paymenter là một giải pháp cửa hàng trực tuyến miễn phí và mã nguồn mở để quản lý các dịch vụ lưu trữ web (hosting). Trong các phiên bản trước 1.5.0, chức năng cập nhật địa chỉ email không vô hiệu hóa trạng thái xác minh hiện có khi người dùng thay đổi địa chỉ email của họ, cho phép một tài khoản đã được xác minh duy trì trạng thái này ngay cả sau khi chuyển sang một địa chỉ email chưa được xác minh hoặc không thuộc sở hữu hợp pháp. Khi người dùng cập nhật địa chỉ email, hệ thống không đặt lại hoặc kiểm tra lại trạng thái xác minh liên quan đến địa chỉ đó. Kết quả là cột "verification" vẫn giữ giá trị “true” ngay cả sau khi địa chỉ email đã thay đổi. Việc khai thác lỗ hổng này có thể dẫn đến: sự nhầm lẫn về quyền sở hữu địa chỉ email, bỏ qua các giả định tin cậy dựa trên xác minh và lạm dụng các tính năng bị khóa bởi trạng thái đã xác minh. Không thể truy cập trái phép trực tiếp vào tài khoản hoặc dữ liệu của người dùng khác thông qua riêng vấn đề này. Lỗ hổng này đã được khắc phục trong phiên bản 1.5.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.