Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 13 OCT · 15:15

CVE-2026-110128 Falta de autenticación en /clientApi/order/detail de fuint

fuint hasta el commit 4c4bc8a contiene una vulnerabilidad de falta de autenticación que permite a atacantes no autenticados obtener los detalles de pedidos de cualquier miembro mediante el endpoint /clientApi/order/detail. Los atacantes pueden enumerar valores secuenciales de orderId sin Access-Token para exponer nombres de compradores, números de documento, teléfonos, direcciones, openIds de WeChat y códigos de verificación.

7.5ALTA

CVSS 3.1

  • CVSS 4.08.7 · alta
  • Probabilidad de explotación0,4 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • fushengqian fuint

    hasta 4c4bc8a68e0a93d37c37ab374f72d64728c9e5f8

Qué hacer

  1. Verificá si usás fuint y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadNinguna
  • DisponibilidadNinguna

CVSS 4.0 · 8.7 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

fuint through commit 4c4bc8a contains a missing authentication vulnerability that allows unauthenticated attackers to retrieve any member's order details via the /clientApi/order/detail endpoint. Attackers can enumerate sequential orderId values without an Access-Token to expose buyer names, national ID numbers, phone numbers, addresses, WeChat openIds and verification codes.

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.