Описание
Spree 0.11.x before 0.11.2 and 0.30.x before 0.30.0 exchanges data using JavaScript Object Notation (JSON) without a mechanism for validating requests, which allows remote attackers to obtain sensitive information via vectors involving (1) admin/products.json, (2) admin/users.json, or (3) admin/overview/get_report_data, related to a "JSON hijacking" issue.
Ссылки
- Patch
- Exploit
- Patch
- Exploit
Уязвимые конфигурации
Конфигурация 1
Одно из
cpe:2.3:a:spreecommerce:spree:0.11.0:*:*:*:*:*:*:*
cpe:2.3:a:spreecommerce:spree:0.11.1:*:*:*:*:*:*:*
cpe:2.3:a:spreecommerce:spree:0.30.0:beta1:*:*:*:*:*:*
EPSS
Процентиль: 70%
0.00635
Низкий
5 Medium
CVSS2
Дефекты
CWE-200
Связанные уязвимости
github
больше 3 лет назад
Spree allows remote attackers to obtain sensitive information
EPSS
Процентиль: 70%
0.00635
Низкий
5 Medium
CVSS2
Дефекты
CWE-200