CVE-2022-33077

O nopCommerce 4.50.2 tem uma falha de controle de acesso quebrado: o endpoint addressedit não verifica adequadamente a propriedade, de modo que um atacante pode modificar o endereço de qualquer cliente, não apenas o seu próprio. Esta é uma clássica referência-direta-insegura-a-objeto — o endpoint confia em um identificador sem verificar se o solicitante é dono do registro-alvo — e, em uma plataforma de e-commerce, significa que um cliente autenticado pode adulterar os dados de endereço armazenados de outros clientes.

O impacto se limita à integridade dos registros de endereço dos clientes, o que é significativo, mas delimitado: sem execução de código, sem despejo em massa de dados, sem tomada de conta por si só. O abuso realista é um usuário autenticado manipulando os dados de entrega de outros, o que poderia viabilizar fraude (redirecionar pedidos) ou ser um incômodo/problema de integridade de dados em escala. É autenticado e um registro por vez, e é por isso que fica em alto-mas-não-crítico; o valor para um atacante depende de como o processamento de pedidos confia nesses dados de endereço mais adiante.

Nossa abordagem é ponderar o potencial de fraude mais adiante e a exposição da plataforma. Onde o nopCommerce 4.50.2 opera uma loja ativa, priorizaríamos conforme as alterações de endereço alimentem diretamente fluxos de entrega ou pagamento que um atacante poderia redirecionar, e conduziríamos a atualização para uma versão corrigida. Bugs de IDOR também andam em bando, então encontrar uma verificação de propriedade quebrada é um convite a revisar endpoints irmãos em busca da mesma autorização ausente e, onde tivermos registro de requisições, a monitorar uma conta editando endereços vinculados a IDs de outros clientes como assinatura de abuso.