CVE-2026-44585 in Paymenter
摘要
由 VulDB • 2026-07-20
Paymenter 是一款用于托管服务管理的免费开源网络商店解决方案。在 1.5.0 之前的版本中，工单创建端点接受用户提供的服务标识符，但未强制执行所有权验证，允许经过身份认证的用户通过修改请求中的服务 ID，创建引用属于其他账户的服务的支持工单。攻击者可以修改客户端请求中的服务 ID 值，并成功创建一个与另一用户服务关联的工单。
该漏洞需要身份认证，且不提供对服务内容或客户数据的直接访问权限。然而，被引用的服务信息可能会向处理该工单的支援人员可见。成功利用此漏洞可能使经过身份认证的用户能够：创建引用属于其他用户的服 务的支持工单，可能导致支持人员与不相关的客户服务进行交互或审查。该漏洞不允许通过易受攻击的端点本身直接访问另一用户的服务、修改另一用户的服务或检索机密服务数据。此问题已在版本 1.5.0 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.