CVE-2024-50968

الوصف

توجد ثغرة في منطق الأعمال في وظيفة "إضافة إلى السلة" في نظام التسوق عبر الإنترنت الزراعي Agrari-Trading Online Shopping System الإصدار 1.0، والتي تسمح للمهاجمين عن بُعد بالتلاعب بمعامل quant عند إضافة منتج إلى السلة. من خلال تعيين قيمة الكمية إلى -0، يمكن للمهاجم استغلال عيب في منطق حساب السعر الإجمالي للتطبيق. يؤدي هذا الثغرة إلى خفض السعر الإجمالي إلى الصفر، مما يسمح للمهاجم بإضافة العناصر إلى السلة والمتابعة إلى الدفع.

نوع الثغرة

ثغرة في منطق الأعمال

البائع

itsourcecode

قاعدة كود المنتج المتأثر:

Agri-Trading Online Shopping System - 1.0

المكون المتأثر:

وظيفة "إضافة إلى السلة" في صفحة index.php من نظام التسوق عبر الإنترنت الزراعي Agrari-Trading Online Shopping System الإصدار 1.0 معرضة للخطر

نواقل الهجوم:

1. قم بإعداد التطبيق محليًا
2. افتح متصفحًا وانتقل إلى عنوان URL http://localhost/teambam/index.php
3. انقر على زر "التسجيل"، وسجّل حسابًا، ثم سجّل الدخول إلى الحساب
4. بعد تسجيل الدخول بنجاح إلى الصفحة الرئيسية، انقر على "إضافة إلى السلة" لأي من المنتجات
5. افتح برنامج Burp Suite واعترض الطلب، ثم غيّر قيمة معامل quant من 1 إلى -0. أرسل الطلب، وسيتم إضافة العنصر إلى السلة.
6. انتقل إلى قسم "السلة"، وسينخفض السعر الإجمالي للمنتج إلى 0 مع رسوم توصيل تبلغ 150 روبية فقط، ويمكنك متابعة الدفع بنجاح لطلب الشراء

المراجع:

1. https://itsourcecode.com/free-projects/php-project/php-project-online-shopping-with-source-code/
2. https://owasp.org/www-community/vulnerabilities/Business_logic_vulnerability