FICHE CVE

CVE-2026-108784

Publiée le 2026-10-12 · Dernière modification le 2026-10-14

🇫🇷 EN BREF

Les versions de Macrozheng Mall jusqu'à la 1.0.3 sont affectées par une erreur de logique métier dans le point de terminaison de paiement Alipay. Un attaquant distant peut manipuler le paramètre `total_amount` pour potentiellement modifier le coût d'une transaction. Cette action peut être exécutée via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 4.05.5 MOYENNE

Type de faiblesse

CWE-840

Publiée2026-10-12

Dernière modification2026-10-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability was detected in macrozheng mall up to 1.0.3. This vulnerability affects the function AlipayServiceImpl.pay of the file com/macro/mall/portal/service/impl/AlipayServiceImpl.java of the component Payment Endpoint. The manipulation of the argument total_amount results in business logic errors. The attack can be launched remotely. The exploit is now public and may be used. The patch is identified as dcaa93b3150352e5044708d7211b5bed0af4509f. A patch should be applied to remediate this issue.