FICHE CVE

CVE-2026-110607

Publiée le 2026-10-14 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les installations de BizSpring Shop sont affectées par une faille dans le processus de vérification des paiements. Un attaquant disposant d'un compte acheteur standard peut contourner les exigences de paiement pour marquer ses propres commandes, ou celles d'autrui, comme payées en appelant un gestionnaire de test spécifique. Cette opération est facile à exécuter via un réseau et ne nécessite qu'une authentification utilisateur basique.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

Vérification d'authenticité insuffisante · CWE-345

Publiée2026-10-14

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

BizSpring Shop through commit cf22d39daaf1 contains a payment verification bypass vulnerability that allows authenticated buyers to mark orders paid by calling the PaymentController.testPostPay handler. Attackers can generate a payment log via /member/payment/load and request /member/payment/test_post_pay_{paymentLogSn} to obtain goods without paying or settle other members' orders.