FICHE CVE

CVE-2026-108690

Publiée le 2026-10-11 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les versions de mall4j allant jusqu'à la 4.0 sont affectées par une faille dans la manière dont le logiciel filtre les requêtes de base de données pour les paniers d'achat. Un attaquant disposant d'un compte client standard peut envoyer une requête réseau spécifique pour consulter le contenu des paniers d'autres acheteurs, notamment les références produits (SKU) et les numéros de cartes de promotion. Cette faille est facile à exploiter et ne nécessite qu'une authentification basique à un compte de boutique.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-783

Publiée2026-10-11

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

mall4j through 4.0 contains an information disclosure vulnerability that allows authenticated customers to read other shoppers' cart items due to an operator precedence error in the getShopCartExpiryItems SQL filter. Attackers with any storefront account can request GET /p/shopCart/expiryProdList to retrieve off-shelf product basket entries including product, SKU, quantity, shop, and promoter card numbers.