CVE-2024-53476

描述

SimplCommerce 的结账逻辑存在竞争条件漏洞，允许多个用户通过同时发送结账请求购买超过库存数量的商品。

检测方法

攻击者可以通过使用两个账户，在几乎同一时间尝试购买库存稀缺的商品（库存=1）来检测此漏洞。如果两个账户都成功购买了该商品，则确认存在竞争条件。这可以通过自定义脚本或 Burp Suite Turbo Intruder 发送并发结账请求来实现。

测试于

230310c8d7a0408569b292c5a805c459d47a1d8f 提交

链接

https://www.simplcommerce.com/

https://github.com/simplcommerce/SimplCommerce

https://github.com/simplcommerce/SimplCommerce/issues/1111

披露时间线

• 2024年11月6日：发现漏洞并向 SimplCommerce 报告。
• 2024年11月6日：向 MITRE 提交 CVE ID 申请。
• 2024年12月5日：MITRE 分配 CVE ID。
• 2024年12月21日：供应商修补受影响版本。
• 2024年12月24日：公开披露漏洞。

致谢

Abdullah Almutawa