🟡 CVE-2026-13571: Medium Schwachstelle

„`html

Zusammenfassung

Eine Schwachstelle wurde in SourceCodester Simple Food Ordering System Version 1.0 identifiziert. Die Vulnerabilität ermöglicht es Angreifern, über eine Manipulation des Parameters item_price in der Datei /cart.php Geschäftslogikfehler auszulösen. Die Schwachstelle hat einen CVSS-Score von 5.3 und wird als Medium-Schweregrad eingestuft. Exploits sind öffentlich verfügbar.

Betroffene Systeme

• SourceCodester Simple Food Ordering System 1.0
• Alle Installationen ohne Sicherheitspatches
• PHP-basierte Bestellsysteme mit identischer Code-Architektur

Technische Details

Die Vulnerability existiert in der Verarbeitung des /cart.php-Moduls. Der Parameter item_price wird unzureichend validiert und sanitiert. Ein Remote-Attacker kann durch manipulierte Eingaben den Preis von Waren im Warenkorb verändern, ohne dass serverseitige Validierungen greifen.

Angriffsvektor: Network (lokal und remote möglich)

Auswirkungen:

• Manipulation von Bestellpreisen
• Finanzielle Verluste durch unautoritäre Preisanpassungen
• Beeinträchtigung der Geschäftslogik des Bestellsystems
• Potenzielle Datenbankinkonsistenzen

Empfohlene Massnahmen

• Sofortige Maßnahmen: Implementierung einer Eingabevalidierung für alle numerischen Parameter, insbesondere item_price
• Code-Review: Überprüfung aller Warenkorb- und Checkout-Funktionen auf ähnliche Validierungslücken
• Serverseitige Validierung: Preise sollten aus der Produktdatenbank abgerufen und nicht vom Client akzeptiert werden
• Web Application Firewall (WAF): Implementierung von Input-Filtern zur Blockade verdächtiger Parameter-Manipulationen
• Monitoring: Aktivierung von Logging für Warenkorb-Transaktionen zur Früherkennung von Exploits
• Update: Warten auf einen offiziellen Patch von SourceCodester

Bewertung

CVSS v3.1: 5.3 (Medium)

Die Schwachstelle posiert ein moderates Risiko. Während ein Remote-Exploit ohne Authentifizierung möglich ist, sind die Auswirkungen primär auf Geschäftslogik beschränkt. Dennoch sollte eine zeitnahe Behebung erfolgen, da exploitierbare PoCs verfügbar sind.

„`