CVE-2024-53476

説明

SimplCommerceはチェックアウトロジックに競合状態の脆弱性が存在し、同時チェックアウトリクエストにより複数のユーザーが在庫以上の商品を購入できる脆弱性です。

検出方法

攻撃者は、在庫が限られている（在庫=1）商品を、2つのアカウントを使用してほぼ同時に購入しようとすることでこの脆弱性を検出できます。両方のアカウントが商品の購入に成功した場合、競合状態の存在が確認されます。これは、カスタムスクリプトやBurp SuiteのTurbo Intruderを使用して同時チェックアウトリクエストを送信することで実行できます。

テスト対象

230310c8d7a0408569b292c5a805c459d47a1d8f commit

リンク

https://www.simplcommerce.com/

https://github.com/simplcommerce/SimplCommerce

https://github.com/simplcommerce/SimplCommerce/issues/1111

公開のタイムライン

• 2024年11月6日: 脆弱性を発見し、SimplCommerceに報告。
• 2024年11月6日: CVE IDのリクエストをMITREに提出。
• 2024年12月5日: MITREによりCVE IDが割り当てられる。
• 2024年12月21日: 影響を受けるバージョンがベンダーによってパッチ適用。
• 2024年12月24日: 脆弱性の公開開示。

クレジット