جزئیات آسیب‌پذیری
CVE-2026-121628
bagisto bagisto
Bagisto before 2.3.16 and 2.4.x before 2.4.1 Race Condition in Coupon Usage Accounting
CVSS 4.0
6.3متوسط
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Bagisto before 2.3.16 and 2.4.x before 2.4.1 contains a race condition vulnerability in manageCartRule() that allows attackers to redeem single-use coupons multiple times. Attackers can submit concurrent order requests to the onepage orders checkout endpoint, bypassing unlocked times_used checks to apply discounts repeatedly.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 6.3متوسط | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N |
| 3.7پایین | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| bagisto | bagisto | v < 2.3.16 | CVEProject cvelistV5 (CNA) |
| bagisto | bagisto | 2.4.0 ≤ v < 2.4.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۸- https://github.com/bagisto/bagisto/commit/81cb2a2a35b355492f704fd216d679f2145a5650 patch
- https://github.com/bagisto/bagisto/commit/1f57c10eb9cb61b37de4706ffa439fd26aa7c405 patch
- https://github.com/bagisto/bagisto/releases/tag/v2.3.16 release-notes
- https://github.com/bagisto/bagisto/releases/tag/v2.4.1 release-notes
- https://gist.github.com/Ayxpp/5358d9fff045e94e0ddb51677ed5d195 exploit
- https://github.com/bagisto/bagisto/blob/v2.4.0/packages/Webkul/CartRule/src/Listeners/Order.php#L30-L95 technical-description
- https://github.com/bagisto/bagisto product
- https://www.vulncheck.com/advisories/bagisto-before-2.3.16-and-2.4-x-before-2.4.1-race-condition-in-coupon-usage-accounting third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۲
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
امتیاز EPSS برای این CVE هنوز منتشر نشده است.
ضعف‌ها (CWE)
- CWE-362Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')